PE_KOLOBOK.A-O

Hängt eigenen Code an den Anfang der Zieldateien an. Infiziert bestimmte Dateitypen durch Einfügen des eigenen Codes. Erstellt eine Infektionskennzeichnung in den infizierten Dateien.

Diese Malware hat keine Verbreitungsroutine.

Diese Malware hat keine Backdoor-Routine.

Installation

Schleust eine Kopie von sich selbst in folgende Ordner ein, wobei verschiedene Dateinamen verwendet werden:

• %Application Data%\wecox.~p1 <- modified copy, prepended with “??KOLO” before the MZ header

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Schleust die folgenden Eigenkopien in das betroffene System ein und führt sie aus:

• %Application Data%\services.exe <- with “-?cwk” as argument
• %Application Data%\wecox.~p0

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• PACMAN:CLOCKWORK:KOLOBOK

Dateiinfektion

Hängt eigenen Code an den Anfang der Zieldateien an.

Infiziert Dateien mit den folgenden Dateierweiterungen durch Einfügen des eigenen Codes:

• .exe
• .scr
• .zip
• .rar
  (Note: The affected system must have a WinRAR installed for infection to .rar and .zip to work)
  It infects .rar and .zip file by dropping an infected copy of “msiexec.exe” to the archives
  • Uses the following shell command to aid this routine:
    • %Program Files%\WinRAR\WinRAR.exe a –ep –ibck –m5 –u –y – %User Temp%\{list of file names}{random number}.exe

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Erstellt eine Infektionskennzeichnung in den infizierten Dateien.

Vermeidet es, Ordner zu infizieren, die diese Zeichenfolgen enthalten:

• "ram f" <- Program Files
• ":\win" <- Windows Directory
• "\sys" <- System Directory
• "\recy" <- Recycle Bin
• TEMP <- Temp Folder
• APPDATA <- Application Data

Verbreitung

Diese Malware hat keine Verbreitungsroutine.

Backdoor-Routine

Diese Malware hat keine Backdoor-Routine.

Einschleusungsroutine

Schleust die folgenden Dateien ein:

• %User Temp%\{random}.{random} <- temporary copy of target file to infect, deleted afterwards
• %User Temp%\{list of file names}{random number}.exe <- temporary copy of infected “msiexec.exe”, deleted afterwards
  Where {list of file names} can be any of the following:
  • install
  • upgrade
  • trainer
  • license
  • keygen
  • serial
  • setup
  • patch
  • crack
  • cheat
  • cdkey

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)