[HaBo]

Mackz

Anzeige

Zurzeit treibt ein neuer Wurm namens "Noomy.A" sein Unwesen.
Der in Visual Basic programmierte Wurm nutzt 2 Methoden der Verbreitung.
1. Die alt bekannte Methode über Emails mit entspr. generiertem Betreff, Text und entspr. Anhängen mit Wurmcode.

Verwendete Betreffs können zum Beispiel folgende sein:

Nach Ausführen des Dateianhanges versendet er sich an alle E-Mail-Adressen, die er in .dbx, .htm, .html oder .php-Dateien des infizierten Rechners aufspüren kann.

2. Verbreitung über IRC. Noomy erstellt einen http-Server auf dem infizierten Computer und legt eine große Zahl von Dateien mit Kopien seines Codes in WINDOWS\SYSTEMBCK an. Die Namen der Dateien können neben vielen anderen folgende sein: 2004serials.pif, Ageofempires2crack.exe, AgeOfMythologyISO.exe oder AnaKurnikovaVirualGirl2004.scr
Der Wurm stellt danach eine Verbindung zum Internet her, loggt sich in die verschiedenen IRC Channel wie ein normaler User ein und versucht per "Social Engineering" Chatter dazu zu bewegen seine erstellten, infizierten Dateien runter zu laden. Die Nachrichten enthalten einen Link, welcher den User mit dem Server auf dem infizierten Computer verbindet. Beim Klick auf diesen Link öffnet sich eine Seite, die den Download der im Chatroom angepriesenen Dateien ermöglichen soll. Um die Seiten realistischer aussehen zu lassen kommen verschiedene Style Sheets zum Einsatz, welche sich zufällig abwechseln.

Unter anderem werden folgende Messages verwendet:

Außerdem werden Prozesse von Security Software wie Firewalls und Antiviren Programmen beendet!
Darüber hinaus startet Noomy.A Denial of Service Attacken gegen
www.microsoft.com
www.sophos.com
www.kaspersky.com

Außerdem besitzt er wohl eine Backdoor Funktion.

Neben den oben genannten zufällig generierten Dateien, erstellt der Wurm außerdem folgende Dateien:

SYSCONF32.EXE im Windows Verzeichnis

STPLOGS.VBS, AHAH.BAT, READ_THIS_SHIT.TXT im Root-Verzeichnis

TASKKILL.EXE

Und nutzt folgenden Registry Schlüssel um sich bei jedem Windowsstart auszuführen:
HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Run
Windows HTML file reader = %windir%\ Sysconf32.exe

(-> Dürfte also ein leichtes sein ihn manuell zu entfernen.)

Weitere Informationen findet man z.B. unter: http://www.pandasoftware.com/virus_i...&idvirus=52716


Quelle: http://www.vnunet.com/news/1158607

__________________
RL sux big time... auch 2012!

Deleting pr0n is like killing your best friend

[HaBo] bei Facebook - Werde Fan

Watchme

kann es sein , das den Wurmcodern nichts neues mehr einfaellt???

den kann man genauso leicht ntfernen wie nen Blaster oder sonstwen...