W32.Banwarum@mm

CARTA D'IDENTITA'

Tipo di minaccia: worm
Colpisce i sistemi operativi: Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003, Windows XP

* Distribuzione geografica: Bassa
* Contenimento della minaccia: Facile
* Rimozione: Facile

W32.Banwarum@mm utilizza il proprio motore SMTP per inviare e-mail agli indirizzi che raccoglie nella rubrica del computer infetto. Il worm si diffonde anche sfruttando la vulnerabilità Microsoft Windows ASN.1 Library Bit String Processing Variant Heap Corruption, aprendo una porta di comunicazione verso l'esterno.

COSA FA

Quando viene eseguito, W32.Banwarum@mm si comporta nel modo seguente: 1. Crea i file seguenti:
%System%\mszsrn32.dll

2. Inietta il file dll nel seguente processo:
winlogon.exe.

3. Aggiunge i valori:
"DllName" = "%System%\mszsrn32.dll"
"Startup" = "Startup"
"Asynchronous" = "1"
"Impersonate" = "0"
"Type" = "2"
alla sottochiave del registro:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\mszsrn32

4. Si diffonde su altri computer anche sfruttando la vulnerabilità Microsoft Windows ASN.1 Library Bit String Processing Variant Heap Corruption

5. Invia le informazioni di sistema ai seguenti URL e riceve comandi dall'aggressore.
* [http://]7stick.biz/mmm/regist[rimosso]
* [http://]olania.net/mmm/regist[rimosso]
* [http://]olania.com/mmm/regist[rimosso]
* [http://]7stick.info/mmm/regist[rimosso]
* [http://]brancholania.net/mmm/regist[rimosso]
* [http://]brancholania.biz/mmm/regist[rimosso]
* [http://]frachetto.com/mmm/regist[rimosso]
* [http://]frachetto.info/mmm/regist[rimosso]
* [http://]5dime.net/mmm/regist[rimosso]
* [http://]monti2.com/mmm/regist[rimosso]

6. Raccoglie gli indirizzi e-mail dai file con le seguenti estensioni sulle unità locali:
* .wab
* .tbb
* .tbi
* .doc
* .xls
* .txt
* .csv
* .htm
* .html
* .xml
* .adb
* .asa
* .asc
* .asm
* .asp
* .cgi
* .con
* .csp
* .dbx
* .dlt
* .dwt
* .edm
* .hta
* .htc
* .inc
* .jsp
* .jst
* .lbi
* .php
* .rdf
* .rss
* .sht
* .ssi
* .stm
* .vbp
* .vbs
* .wml
* .xht
* .xsd
* .xst

7. Evita di inviarsi agli indirizzi di e-mail che contengono una delle stringhe seguenti:
* admin
* info
* support
* soft
* webmaster
* help
* web
* postmaster
* root
* bugs
* rating
* site
* contact
* privacy
* serviceabuse
* register
* sales
* cisco
* gnu.org
* bsd.it
* debian
* linux
* berkeley
* google
* fido
* ibm.com
* microsoft.com
* php.net
* .mil
* .gov
* borland.com
* sun.com
* xinul.com
* virus
* kaspersky
* sophos
* ripe.
* iana.
* drweb.
* secure
* avp.
* .arpa

8. Utilizza il proprio motore SMTP per inviarsi a tutti gli indirizzi di posta elettronica che trova. Le caratteristiche del messaggio e-mail sono le seguenti:
Da: Falsificato
Oggetto:
Uno dei seguenti:
* Ermittlungsverfahren wurde eingeleitet
* Sie besitzen Raubkopien
* Anzeige ist erstatet
* Ich Zeige sie an!
* Sie betrueger!
* Ihre Akte!
* Sie kommen ins Knast!
* Ihre IP wurde geloggt!
* BundesKriminalAmt
* Ich zeige dich an!
* Hoer auf damit!
* Warum machst du das?
* Es ist AUS!
* akte
* Du Sexgott!
* Du bist mein Sexgott!
* Ficke meine Brust!
* Ich lauf aus bitte leck mich!
* Es leuft mir schon das bein Runter Honey!
* Bums mein Arsch!
* Fick mein Po!
* Ich bin dauergeill warum?
* Umsonst mein Arschficken ab 18 Jahren!
* Lass dich Umsonst Wixen! Nur ab 18 Jahren!
* Treibs mit einer schlampe!
* Betrueg bitte deine Frau mit mir!
* Ich liebe dich!
* Nimm mich durch mein Schadz!
* Du machst mich so Geil!
* Ich hab die neuen Fotos Fertig!
* Bums eine Schwarze und gewinne WM-Karten!
* Es ist ein Missverstaendnis geschehen
* Falschueberweisung
* Ueberweisung an einen falschen Adressanten
* Das Geld das nicht mir gehoert
* Postbank Ueberweisungen
* Ich hab ihr Geld.
* Ich habe Geld von ihren Postbank Konto bekommen
* Warum schicken sie mir Geld?
* 1000 Euro von der Postbank
* Geld von Postbank
* Geldueberweisungen
* Missueberweisungen
* Bitte stoppen Sie es
* Ihr Geld
* Postbank
* Uberweisungen
* Ihre Auszahlungen an mich
* Fasches Bankkonto
* Geld
* Falscher Adressant
* WM Tickets!
* Hallo!
* Guten Tag! Hier sind ihre WM Tickets!
* Sie haben WM Tickets gewonnen!
* Holen sie jetzt ihre WM Tickets ab!
* Weltmeisterschaft!
* Komme mit!
* JehhuuuU! WWWMMMM!!
* Gewonnen? GeWONNEN!
* Holen sie sich WM Tickets fuerdas Finalle JETZT!

Corpo del messaggio:
Uno dei seguenti:
* Sehr geehrte Dame, sehr geehrter Herr,
das Herunterladen von Filmen, Software und MP3s ist illegal [REMOVED] rat LS 2
--- 65173 Wiesbaden
--- Tel.: +49 (0)611 - 55 - 12331 oder
--- Tel.: +49 (0)611 - 55 - 0
* Guten Tag sehr geehrte Damen und Herren!
Meine Web-Site zeichnete Angriffe von ihrer IP Auf
Ich ha [REMOVED] hab ich der Email beigefuegt.
Password fuer die Anklageschrift lautet: [PASSWORD]
mfg
Karl Stein
* Tina es ist schluss!
Unterlasse es mir die fotos zu schicken
wir sind nicht mehr zusammen und ich [REMOVED] h einen password rauf gemacht
das password ist dein Name: [PASSWORD]
schreib nicht zurueck
Alexei
* Sehr geehrte Frau Tisha
das Zuspammen von meiner Email mir ihren nacktfotos
bleibt nicht unbemerkt [REMOVED] Email beigefuegt,
dass password lautet: [PASSWORD]
Bitte keine Fotos und Emails mehr
mfg
Kresen
* Warum drohen sie mir hab ich ihnen was getann?
Ich wusste schon lange das Schwarze nicht erweunscht [REMOVED] drinne ist eine Kopie
der Anzeige
das password fuer die Anzeige lautet: [PASSWORD]
mfg
Ublaskar
* Wir werden sehen ich sperre mich ein!
Sie drohen mir das sie mich aufschlitzen wollen?
Ich habe sie gestern Angeziegt und stehe unter Polizei schutz!
Hier die letzte mahnung hab ich der Email beigefuegt!
das Password lautet: [PASSWORD]
Werner Blass
* Die nacktfotos die ich von ihnen bekamm leitete ich an das Kriminal Amt weiter!
Das ist Sexuelle be [REMOVED] und die Fotos als beweis hab ich der Email beigefuegt
das password ist : [PASSWORD]
Emilion Volks
* Hi Schadz ich schreib aus den Inet cafe in Muenchen
meine neuen Fotos sind fertig und ich vermisse [REMOVED] et hab ich ein password
drauf gemacht das password ist mein name also: [PASSWORD]
Mit liebe Monica
* Hi sexgott ich bin so geil das ich nicht mehr kann
hier ein paar fotos wie ich grade abgehe!
das password fuer die fotos ist: [PASSWORD]
Gruesse Monica
* Warum bin ich so dauergeil immer muss ich mir was in die MuMu reinschieben
ist das vieleicht ungesund wenn ich dir banane rein tue sie fuelt sich so gut an
was meinst du?
Guck dir meine Fotos an und sag bescheid!
das Password fuer die fotos ist: [PASSWORD]
geilen gruss
Tina
* Oh BABY!!!
Ich bin so geil bitte fick mich
meine muschi leuft aus ich will o bitte bitttte.........
hofffendlich bist du auch Geil wenn du meine Pics siehst
habe dir paar neue mitgeschickt
das password ist: [PASSWORD]
bye bye
* Ja ich bin deine HERRIN
aber du darfst trozdem mein Hintern ficken
ich weiss nicht warum aber das fuelt sich ueber geil an
mach das baby oder hast du keine lust?
Guck dir meine fotos an du wirst schon lust bekommen
das password fuer die pics ist: [PASSWORD]
cya dein bussi
* Hi honey
wie findest du eigendlich das das deine Schwester so Rumhurt?
ich mag sie voll gerne aber [REMOVED] einen Eltern zeigst aber das video schick ich dir das password dafuer ist : [PASSWORD]
Alles liebe
* Warum betruegst du Albert?
Ich hab mir dir geschlafen und habe alles getann was du wolltest und du
[REMOVED] chick ich mit der Email
das password was ich darauf gemacht habe ist: [PASSWORD]
Fick dich
Helena
* Hallo Albert
Ich habe ein paar fotos fuer dich gemacht und wollte sie dir schicken damit du mich nicht so vermisst ich bin in 2 wochen wieder da dann werde ich alle deine wuensche erfuellen versprochen!
Die fotos sind mit der emial
das password hab ich raufgemacht es lautet: [PASSWORD]
* Willst du WM tickets gewinnen?
Dann sende uns eine ausgefueltte kopie des Geweinnzettel und wir schicken dir
2 Tickets fuer das Finalle!
Der geweinnzettel ist beigefuegt!
Ihr persoenliches password lautet: [PASSWORD]
Ihr WM Team
* Sehr geehrte Damen und Herren,
vor kurzem habe ich eine Ueberweisung von ihrem Bank Konto bekommen [REMOVED]
uenden ein Password darauf gelegt, er lautet [PASSWORD]
Mit Freundlichen Gruessen
Manfred Schmidt
* Sehr geehrte Damen und Herren,
seit Gestern bekomme ich andauernt Geld von Ihnen, ich danke sehr, a [REMOVED] sung gemacht, Kennwort fuer das Archiv lautet [PASSWORD]
Mit freundlichen Gruessen
Mattias Botcher
* Sehr geehrte Damen und Herren,
warum schicken Sie mir ihr Geld? Ich bedanke mich bei ihnen, aber es [REMOVED] die sie gemacht haben.
Password dafuer lautet [PASSWORD]
Mit freundlichen Gruessen
Gerhard Meyer
* Sehr geehrte Damen und Herren,
ich bevorzuge ihre friedliche Ansichten, aber wir sind keine Wohltaetigkeitsorganisation, deswegen bitte wir Sie die Geldueberweisungen zu beenden.
Wir wuerden gerne alles zurueck zahlen was sie an uns bereits abschickten.
In dem Dateianhang lieg der Log von der Postbank, das Kennwort fur den Archiv lautet [PASSWORD]
Mit freundlichen Gruessen
Ingrid Behnke
* Sehr geehrte Damen und Herren,
ich will Sie darauf aufmerksam machen, das Sie ununterbrochen Geld an uns abschicken.
Es ist wirklich erfreulich, aber das Geld gehoert uns nicht und wir wuerden gerne alles zurueck zahlen.
Ein Kopie von der Ueberweisung liegt in dem Anhang, das Kennwort dafuer lautet [PASSWORD]
Mit freundlichen Gruessen
Anne Flachman
* Hi,
thx das du Geld an mich schicks, aber kannste damit auf hoeren?
Hier eine Kopie des Kontoauszugs von der Postbank in dem Anhang. Password:
[PASSWORD]
mfg Henry
* Hallo,
sie schicken viel Geld an mir, das mir, nicht mein ist. Ich haben eine Posdbank Account.
Ich schicken alles an du zurueck, wenn du damit aufhoeren Geld zu schicken. Danke.
Hier eine Anhang mit der Ueberweisung. Password dafuer lautete [PASSWORD]
Have a nice day
John Walthers
* Sehr geehrte Damen und Herren,
wir laden Sie rechtherzlich zu unseren
Gewinne WM Tickets
Aktion. Alles was dafuer zu machen brauchen ist dieses Formular auszufuellen.
Das eine Euro das Sie uns schicken wird viele Kinder der dritten Welt erfreuen.
Das Kennwort fuer den Formular lautet [PASSWORD]
Herzlichen Dank
Bathe Maune
* Sehr geehrte Damen und Herren,
Sie haben so eben Weltmeisterschaft Tickes gewonnen! Alles was jetzt noch zu machen ist, das Formular in dem Anhang auszufuellen und Sie sind dabei!
Verpassen Sie ihre einmalige Chance nicht!
Anhangspassword: [PASSWORD]
Mit freundlichen Gruessen
Lotto-GDI GmbH
* Hi, du hast mich mal bei irgendeinem Online-Dating, ich hab gesagt du bist haesslich und geblockt, Sorry,..
Du bist nicht haesslich, ich war einfach mies drauf. Ich will es wiedergut machen, lade dich damit zu WM, Tickets habe ich ins Attach gelegt,
entpacke es und druecks aus. Password fuer den Archiv lautet [PASSWORD]
mfg Nadine
* Hi man,
ich hab gesehen, das du zu WM wolltest, frag nicht wer ich bin und warum ich es mache.
Hier hast du 5 Stueck, das ist eine spezielle Online Version, drueck es aus und unterschreib. Password zu dem Archiv lautet [PASSWORD]
Mfg Niemand
* Sehr geehrte Damen und Herren,
Sie haben ein Multi-WM-Ticket gewonnen! Mit diesem Ultimativen Ticke [REMOVED] ang lautet [PASSWORD]
Mit freundlichen Gruessen
WM
Free Tickets Organisation (kurz gesch. WMFTO)
* Sehr geehrte Damen und Herren,
ich habe vor kurzem 7 WM Tickets fuer meine ganze Familie gekauft, a [REMOVED] Tickets, Password fuer den Archiv lautet [PASSWORD]
Mit freundlichen Gruessen
Salim Heraldulkalam
* Sehr geehrte Damen und Herren,
danke das Sie bei unserer Lotterie mitgemacht haben, und wir wollen sie damit
benachrichtigen, dass Sie GEWONNEN HABT!
Alles was jetzt noch zu machen ist, schnell die Tickets ausfuellen und zu WM gehen!
Dateianhangspassword: [PASSWORD]
Mit freundlichen Gruessen
Lotterie-NOD GmbH

dove la variabile [PASSWORD] rappresenta password generate a caso.
Allegato:
Uno dei seguenti:
* ihre_akte.zip
* vorladung.zip
* anklageschrift.zip
* anklage.zip
* Anzeige.zip
* bescheinigung.zip
* beweise.zip
* Anklage-Material.zip
* IhrEnde.zip
* Kopien.zip
* mypics.zip
* meinbild.zip
* ichbingeil.zip
* fickmich.zip
* meine_moese.zip
* bild01.zip
* fotze.zip
* reklament.zip
* sexy.zip
* free_pics.zip
* free_videos.zip
* fick_mich.zip
* geil.zip
* ich_lauf_aus.zip
* Rechnung.zip
* Kontoauszug.zip
* Abbild-Der-Rechnung.zip
* Rechnung-Anhang.zip
* Ueberweisung.zip
* Postbank-Ueberweisungen.zip
* Auszahlungen.zip
* Postbank.zip
* bank-kontoauszuge.zip
* Neuer Ordner.zip
* WM-Tickets.zip
* WM-Anhang.zip
* Anhang.zip
* Desktop.zip
* Weltmeisterschaft.zip
* New Folder.zip
* Tickets.zip
* archiv.zip
* Anhang-Tickets.zip
* ihre_akte.rar
* vorladung.rar
* anklageschrift.rar
* anklage.rar
* Anzeige.rar
* bescheinigung.rar
* beweise.rar
* Anklage-Material.rar
* IhrEnde.rar
* Kopien.rar
* mypics.rar
* meinbild.rar
* ichbingeil.rar
* fickmich.rar
* meine_moese.rar
* bild01.rar
* fotze.rar
* reklament.rar
* sexy.rar
* free_pics.rar
* free_videos.rar
* fick_mich.rar
* geil.rar
* ich_lauf_aus.rar
* Rechnung.rar
* Kontoauszug.rar
* Abbild-Der-Rechnung.rar
* Rechnung-Anhang.rar
* Ueberweisung.rar
* Postbank-Ueberweisungen.rar
* Auszahlungen.rar
* Postbank.rar
* bank-kontoauszuge.rar
* Neuer Ordner.rar
* WM-Tickets.rar
* WM-Anhang.rar
* Anhang.rar
* Desktop.rar
* Weltmeisterschaft.rar
* New Folder.rar
* Tickets.rar
* archiv.rar
* Anhang-Tickets.rar

Nota: L'allegato contiene il worm con le password generate a caso.

COME RIMUOVERLO

1. Disattivare il Ripristino configurazione di sistema.
2. Aggiornare il proprio antivirus.
3. Eseguire una scansione completa del sistema in modalità provvisoria.