Virus.Win32.CHIR.B-O

Wird möglicherweise von anderer Malware eingeschleust.

Hängt eigenen Code an Zieldateien an. Infiziert bestimmte Dateitypen durch Einfügen des eigenen Codes.

Sammelt Empfänger-E-Mail-Adressen aus dem Windows Adressbuch (WAB).

Übertragungsdetails

Wird möglicherweise von der folgenden Malware eingeschleust:

• PE_CHIR.B

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %System%\runouce.exe

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).)

Fügt die folgenden Prozesse hinzu:

• {Malware Path}\{Malware Filename}.exe

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• ChineseHacker-2

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Runonce = "%System%\runouce.exe"

Dateiinfektion

Hängt eigenen Code an Zieldateien an.

Infiziert Dateien mit den folgenden Dateierweiterungen durch Einfügen des eigenen Codes:

• .EXE
• .SCR
• .HTM
• .HTML

Verbreitung

Sammelt Empfänger-E-Mail-Adressen aus dem Windows Adressbuch (WAB).

Nutzt eine unbekannte Schwachstelle in der folgenden Software aus, damit der Anhang automatisch ausgeführt wird, wenn die Nachricht gelesen oder eine Vorschau angezeigt wird:

• MS01-020 - Incorrect MIME Header Can Cause IE to Execute E-mail Attachment

Andere Details

Es macht Folgendes:

• Infected .EXE or .SCR files are detected as PE_CHIR.B.
• This file infector drops the following file on the folder location of the infected .HTM or .HTML file:
  
  • readme.eml - detected as HTML_IFRAME.DY
• It infects .HTM or .HTML by inserting a code that automatically executes the dropped README.EML when accessed. The infected .HTM or .HTML is detected as JS_NIMDA.A-1.
• It uses the following Simple Mail Transfer Protocol (SMTP) server:
  
  • {BLOCKED}.net.cn
• It uses it own Simple Mail Transfer Protocol (SMTP) engine to mass-mail messages with a copy of itself as an attachment. The email message contains the following details:
  TO: {Receipients Email Address}
  FROM: imissyou@{BLOCKED}.net.cn
  SUBJECT: {hostname} is comming!
  Attachment: pp.exe