WORM_JOLEEE.YB

Wird als Spam-Mail-Anhang durch andere Malware/Grayware/Spyware oder bösartige Benutzer übertragen.

Es können auch Nachrichten verfasst werden, die Teil der Spamming-Routine sein können.

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird.

Verfügt auch über Rootkit-Fähigkeiten, wodurch die eigenen Prozesse und Dateien vor dem Benutzer versteckt werden können.

Löscht sich nach der Ausführung selbst.

Übertragungsdetails

Wird als Spam-Mail-Anhang durch andere Malware/Grayware/Spyware oder bösartige Benutzer übertragen.

Installation

Schleust folgende nicht bösartigen Dateien ein:

• %System%\drivers\str.sys
• %System%\MAI3.tmp

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Fügt sich in die folgenden Prozesse ein, die im Speicher des betroffenen Systems ausgeführt werden:

• svchost.exe
• explorer.exe

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• Global\{3D5A1694-CC2C-4ee7-A3D5-A879A9E3A62A}

Autostart-Technik

Registriert sich als Systemdienst, damit sie bei jedem Systemstart automatisch ausgeführt wird, indem sie die folgenden Registrierungseinträge hinzufügt:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}
ImagePath = "%System%\drivers\{random}.sys"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}
DisplayName = "{random}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}
Group = "Boot Bus Extender"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}
Type = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}
Start = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}
ErrorControl = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}
_MAIN = "\??\%System%\MAI3.tmp"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}
RulesData = "{hex values}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}
krnl_sleepfreq = "{hex values}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}
krnl_servers_list = "{hex values}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}\Enum
Count = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}\Enum
NextInstance = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}\Enum
INITSTARTFAILED = "1"

Registriert sich als Systemdienst, damit die Ausführung bei jedem Systemstart automatisch erfolgt, indem die folgenden Registrierungsschlüssel hinzufügt werden:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}\Enum

Verbreitung

Es können auch Nachrichten verfasst werden, die Teil der Spamming-Routine sein können.

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• perform DoS/DDoS attacks
• download files from a remote computer and/or the Internet
• run executable files
• terminate running processes
• sending various information about the infected computer
• update itself to a newer version
• receive data for spam email

Rootkit-Funktionen

Verfügt auch über Rootkit-Fähigkeiten, wodurch die eigenen Prozesse und Dateien vor dem Benutzer versteckt werden können.

Prozessbeendigung

Beendet Prozesse oder Dienste, die einen oder mehrere dieser Zeichenfolgen enthalten, wenn sie im Speicher des betroffenen Systems ausgeführt werden:

• AVGIDSAgent.exe
• AVGIDSMonitor.exe
• McSvHost.exe
• MsMpEng.exe
• Normandy.sys
• RkUnhooker.exe
• RootRepeal.exe
• avfwsvc.exe
• avgam.exe
• avgchsvx.exe
• avgcsrvx.exe
• avgemc.exe
• avgfrw.exe
• avgfws9.exe
• avgnsx.exe
• avgnt.exe
• avgrsx.exe
• avgtray.exe
• avguard.exe
• avgui.exe
• avgwdsvc.exe
• avmailc.exe
• avp.exe
• avshadow.exe
• avwebgrd.exe
• ccSvcHst.exe
• cfp.exe
• cmdagent.exe
• dwengine.exe
• egui.exe
• ekrn.exe
• gmer.exe
• gmer.sys
• greypill.sys
• kl1.sys
• mcagent.exe
• mcshield.exe
• mfefire.exe
• mfevtps.exe
• msseces.exe
• rootrepeal.sys
• spideragent.exe
• spidergate.exe
• spiderml.exe

Einschleusungsroutine

Schleust die folgenden Dateien ein:

• %System%\drivers\{random}.sys - detected as RTKT_JOLEEE.YB

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Andere Details

Löscht sich nach der Ausführung selbst.