WORM_TUFIK.AJ

Wird möglicherweise von anderer Malware/Grayware/Spyware von externen Sites heruntergeladen. Wird möglicherweise unwissentlich von einem Benutzer beim Besuch bösartiger Websites heruntergeladen.

Verwendet das Standardsymbol für einen Windows-Ordner, um Benutzer zum Öffnen der Datei zu verleiten. Durch Doppelklicken auf die Datei wird die Malware ausgeführt.

Schleust Kopien von sich selbst in Wechsellaufwerke ein. Diese eingeschleusten Kopien verwenden als Dateinamen die Namen der Ordner auf den betroffenen Laufwerken. Die gesendeten Nachrichten enthalten einen Link, von dem eine Kopie der Malware heruntergeladen werden kann.

However, as of this writing, the said sites are inaccessible.

Übertragungsdetails

Wird möglicherweise von anderer Malware/Grayware/Spyware von externen Sites heruntergeladen.

Wird möglicherweise unwissentlich von einem Benutzer beim Besuch bösartiger Websites heruntergeladen.

Installation

Schleust folgende nicht bösartigen Dateien ein:

• %System%\Xpen.dat
• %System%\Penx.dat
• %Windows%\wininit.ini

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.. %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %Windows%\dc.exe
• %Windows%\SVIQ.EXE
• %System%\WinSit.exe
• %System%\config\Win.exe
• %Windows%\system\Fun.exe
• %Windows%\inf\Other.exe
• %Windows%\Help\Other.exe

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.. %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Verwendet das Standardsymbol für einen Windows-Ordner, um Benutzer zum Öffnen der Datei zu verleiten. Durch Doppelklicken auf die Datei wird die Malware ausgeführt.

Injiziert Threads in die folgenden normalen Prozesse:

• csrss.exe
• lsass.exe

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
dc2k5 = "%Windows%\SVIQ.EXE"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Fun = "%Windows%\system\Fun.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
dc = "%Windows%\dc.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows
run = "%System%\config\Win.exe"

Ändert die folgenden Registrierungseinträge, um bei jedem Systemstart automatisch ausgeführt zu werden:

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows
load = "%Windows%\inf\Other.exe"

(Note: The default value data of the said registry entry is "".)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Shell = "Explorer.exe %System%\WinSit.exe"

(Note: The default value data of the said registry entry is "Explorer.exe".)

Verbreitung

Schleust Kopien von sich selbst in Wechsellaufwerke ein. Diese eingeschleusten Kopien verwenden als Dateinamen die Namen der Ordner auf den betroffenen Laufwerken.

Die gesendeten Nachrichten enthalten die folgenden Links, von denen eine Kopie der Malware heruntergeladen werden kann:

• http://{BLOCKED}oivb.googlepages.com/NWB.txt

Versendet Eigenkopien an Zielempfänger über die folgenden Instant-Messaging-Anwendungen:

• Yahoo! Messenger

Versendet die folgenden Nachrichten über die zuvor erwähnten Instant-Messaging-Anwendungen:

Chuc mung, ban da tam thoi thoat khoi Worm DungCoi
http://{BLOCKED}ivb.googlepages.com/NWB.txt
Olalala, may tinh cua ban da dinh Worm DungCoi...........

Backdoor-Routine

However, as of this writing, the said sites are inaccessible.