WORM_DOWNAD.ANM

Wird durch das Anschließen infizierter Wechsellaufwerke auf ein System übertragen.

Legt eine AUTORUN.INF-Datei ab, um automatisch die eingeschleusten Kopien auszuführen, wenn ein Benutzer auf die Laufwerke eines betroffenen Systems zugreift.

Ändert bestimmte Registrierungseinträge, um versteckte Dateien auszublenden.

Übertragungsdetails

Wird durch das Anschließen infizierter Wechsellaufwerke auf ein System übertragen.

Installation

Schleust eine Kopie von sich selbst in folgende Ordner ein, wobei verschiedene Dateinamen verwendet werden:

• %System%\{Random Filename}.dll

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Autostart-Technik

Registriert sich als Systemdienst, damit sie bei jedem Systemstart automatisch ausgeführt wird, indem sie die folgenden Registrierungseinträge hinzufügt:

HKLM\SYSTEM\CurrentControlSet\
Services\{Random}
DisplayName = "Manager Support"

HKLM\SYSTEM\CurrentControlSet\
Services\{Random}
Type = "32"

HKLM\SYSTEM\CurrentControlSet\
Services\{Random}
Start = "2"

HKLM\SYSTEM\CurrentControlSet\
Services\{Random}
ErrorControl = "0"

HKLM\SYSTEM\CurrentControlSet\
Services\{Random}
ImagePath = "%SystemRoot%\system32\svchost.exe -k netsvcs"

HKLM\SYSTEM\CurrentControlSet\
Services\{Random}
ObjectName = "LocalSystem"

HKLM\SYSTEM\CurrentControlSet\
Services\{Random}
Description = "Monitors system security settings and configurations."

HKLM\SYSTEM\CurrentControlSet\
Services\{Random}\Parameters
ServiceDll = "%System%\{Random Filename}.dll"

Andere Systemänderungen

Ändert die folgenden Registrierungsschlüssel:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\BITS
Start = "4"

(Note: The default value data of the said registry entry is "3".)

Ändert die folgenden Registrierungseinträge, um Dateien mit dem Attribut 'Versteckt' zu verbergen:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = "2"

(Note: The default value data of the said registry entry is "User Default".)

Erstellt den oder die folgenden Registrierungseinträge, um die Windows Firewall zu umgehen:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
3739:TCP = "3739:TCP:*:Enabled:mdqkva"

Verbreitung

Erstellt die folgenden Ordner in allen Wechsellaufwerken:

• {Drive Letter}:\RECYCLER\S-5-3-42-2819952290-8240758988-879315005-3665\

Schleust folgende Kopie(n) von sich selbst in alle Wechsellaufwerke ein:

• {Drive Letter}:\RECYCLER\S-5-3-42-2819952290-8240758988-879315005-3665\{Random Filename}.{Random Extension}

Legt eine AUTORUN.INF-Datei ab, um automatisch die eingeschleusten Kopien auszuführen, wenn ein Benutzer auf die Laufwerke eines betroffenen Systems zugreift.

Die besagte .INF-Datei enthält die folgenden Zeichenfolgen:

{Garbage Character}
[{Garbage Character}AUTorUN
{Garbage Character}
AcTION
{Garbage Character}
Open folder to view files
{Garbage Character}
%syStEmrOot%\sySTEM32\sHELL32.Dll
{Garbage Character}
shelLExECUte
{Garbage Character}
=RuNdLl32.EXE .\RECYCLER\S-5-3-42-2819952290-8240758988-879315005-3665\{Random Filename}.{Random Extension},{Random Value}
{Garbage Character}
useAuTopLAY{Garbage Character}={Garbage Character}1
{Garbage Character}

Andere Details

Verbindet sich mit den folgenden Zeitservern, um das aktuelle Datum zu ermitteln:

• w3.org

Ändert die folgenden Registrierungseinträge, um versteckte Dateien auszublenden:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
SuperHidden = "0"

(Note: The default value data of the said registry entry is "1".)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder\Hidden\
SHOWALL
CheckedValue = "0"

(Note: The default value data of the said registry entry is "1".)

Führt DNS-Anfragen an folgende Websites durch:

• {Pseudorandom Characters}.ws
• {Pseudorandom Characters}.info
• {Pseudorandom Characters}.cn
• {Pseudorandom Characters}.cc
• {Pseudorandom Characters}.com
• {Pseudorandom Characters}.org
• {Pseudorandom Characters}.biz
• {Pseudorandom Characters}.net