WORM_PALEVO.FH

Legt eine AUTORUN.INF-Datei ab, um automatisch die eingeschleusten Kopien auszuführen, wenn ein Benutzer auf die Laufwerke eines betroffenen Systems zugreift.

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird. However, as of this writing, the said sites are inaccessible.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %User Profile%\Application Data\vfbu.exe

(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• K/Fz+56

Injiziert sich selbst in die folgenden Prozesse, um speicherresident ausgeführt zu werden:

• explorer.exe

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Winlogon
Taskman = "%User Profile%\Application Data\vfbu.exe"

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_CURRENT_USER\Software\Licenses

HKEY_CLASSES_ROOT\CLSID\{5A8A1D95-22E9-3963-2E06-90BDD094E562}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{5A8A1D95-22E9-3963-2E06-90BDD094E562}\InprocServer32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{5A8A1D95-22E9-3963-2E06-90BDD094E562}\ProgID

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{5A8A1D95-22E9-3963-2E06-90BDD094E562}\VersionIndependentProgID

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
RFC1156Agent

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_CURRENT_USER\Software\Licenses
{K7C0DB872A3F777C0} = "{random values}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{5A8A1D95-22E9-3963-2E06-90BDD094E562}\InprocServer32
ThreadingModel = "Both"

HKEY_CURRENT_USER\Software\Licenses
{IAA4A1823DF778B97} = "{random values}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
RFC1156Agent\CurrentVersion\Parameters
TrapPollTimeMilliSecs = "3a98"

Verbreitung

Erstellt die folgenden Ordner in allen Wechsellaufwerken:

• {Removable Drive}:\U3ROM

Schleust folgende Kopie(n) von sich selbst in alle Wechsellaufwerke ein:

• {removable drive letter}:\U3ROM\system32.exe

Legt eine AUTORUN.INF-Datei ab, um automatisch die eingeschleusten Kopien auszuführen, wenn ein Benutzer auf die Laufwerke eines betroffenen Systems zugreift.

Die besagte .INF-Datei enthält die folgenden Zeichenfolgen:

;garbage characters
[autorun]
open=U3ROM/system32.exe
;garbage characters
icon=U3ROM/default.ico
;garbage characters
action=Open
;garbage characters
shell\open\command=U3ROM/system32.exe
shell\explore\command=U3ROM/system32.exe
useautoplay=1
:GOTO NUL
;garbage characters

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• MSN spreader
• P2P Spreader
• DDOS (TCP/UDP Flooding)
• Retrieve Stored Browser Passwords
• Update / Remove self
• Download and execute arbitrary files
• USB Spreader
• Visit a URL / Display pop-up advertisements

However, as of this writing, the said sites are inaccessible.

Datendiebstahl

Folgende Daten werden gesammelt:

• IP Address
• Network Setting
• Operation System
• Admin Rights
• Country
• Port Used
• Username / Hostname