WORM_STUXNET.A

Um einen Überblick über das Verhalten dieser Worm zu erhalten, verwenden Sie das unten gezeigte Bedrohungsdiagramm.

Nutzt Software-Schwachstellen aus, um sich auf andere Computer in einem Netzwerk zu verbreiten.

Verbirgt Dateien, Prozesse und/oder Registrierungseinträge.

Installation

Schleust folgende Komponentendateien ein:

• %System%\drivers\mrxcls.sys - detected as RTKT_STUXNET.A
• %System%\drivers\mrxnet.sys - detected as RTKT_STUXNET.A
• %System%\wbem\mof\sysnullevnt.mof
• %Windows%\inf\oem6C.PNF
• %Windows%\inf\oem7A.PNF - encrypted DLL on .stub section
• %Windows%\inf\mdmcpq3.PNF - encrypted data where URL of server is stored
• %Windows%\inf\mdmeric3.PNF
• C:\\WINDOWS\Help\winmic.fts

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.. %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Verbreitung

Schleust folgende Kopie(n) von sich selbst in alle Wechsellaufwerke ein:

• {drive letter}:\\Copy of Shortcut to.lnk
• {drive letter}:\\~WTR4132.tmp
• {drive letter}:\\~WTR4141.tmp

Nutzt die folgenden Software-Schwachstellen aus, um sich auf andere Computer in einem Netzwerk zu verbreiten:

• Microsoft Security Bulletin MS10-061

  This worm exploits this vulnerability in the Windows Shell by calling the StartDocPrinter procedure in order to impersonate the Printer Spooler service to create the file WINSTA.EXE on the Windows system folder of a target machine. It also sends a second file named sysnullevnt.mof and saves it as %System%\wbem\mof. It is automatically registered to the Windows Management Instrumentation then it executes WINSTA.EXE. The said .MOF file also registers an event that deletes its duplicate in the %System%\wbem\mof\good and WINSTA.EXE once the said executable is terminated.

• Microsoft Security Bulletin MS08-067

  By sending specially crafted RPC requests, this worm can send and execute a copy of itself into a vulnerable system.

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Rootkit-Funktionen

Verbirgt Dateien, Prozesse und/oder Registrierungseinträge.

Entwendete Daten

Sendet die gesammelten Daten über HTTP-POST an den folgenden URL:

• http://www.{BLOCKED}ierfutbol.com/index.php?data={data}
  
  (Note: {data} is an encrypted hex value that contains the IP address of the machine, computer name, and domain.)