Wurm Tearec.AZF

Verbreitung: *****
Schaden: *****

Der Wurm Tearec.AZF ist per E-Mail unterwegs und lockt mit einem angeblichen Video von Nicole Kidman. Nach einem Doppelklick auf die im Anhang befindliche Datei, wird jedoch kein Video angezeigt, stattdessen installiert sich der Wurm auf dem betreffenden System.

Die E-Mail hat folgendes Aussehen

Betreff: Nicole Kidman video - you must view this videoclip

Dateiname: Video_part.mim

Größe des Dateianhangs: 94.154 Bytes

E-Mail-Text: Please see the video

Betroffene Betriebssysteme: Alle Windows-Versionen

Installation auf dem System

Kopien seiner selbst werden hier erzeugt:
• %WINDIR%Rundll16.exe
• %SYSDIR%scanregw.exe
• C:WINZIP_TMP.exe
• %SYSDIR%Update.exe
• %SYSDIR%Winzip.exe
• %ALLUSERSPROFILE%Start MenuProgramsStartupWinZip Quick Pick.exe

Folgende Dateien werden überschreiben.
Die enthaltene Zeitsynchronisation löst bei folgendem Zeitpunkt aus: Wenn der Tag den folgenden Wert hat: 3

– %alle Verzeichnisse%

Dateiendungen:
• .HTM
• .DBX
• .EML
• .MSG
• .OFT
• .NWS
• .VCF
• .MBX

Mit folgendem Inhalt:
• DATA Error [47 0F 94 93 F4 K5]

Folgende Dateien werden gelöscht:
• %PROGRAM FILES%DAP*.dll
• %PROGRAM FILES%BearShare*.dll
• %PROGRAM FILES%SymantecLiveUpdate*.*
• %PROGRAM FILES%Trend MicroPC-cillin 2003*.exe
• %PROGRAM FILES%SymantecCommon FilesSymantec Shared*.*
• %PROGRAM FILES%Norton AntiVirus*.exe
• %PROGRAM FILES%Alwil SoftwareAvast4*.exe
• %PROGRAM FILES%McAfee.comVSO*.exe
• %PROGRAM FILES%McAfee.comAgent*.*
• %PROGRAM FILES%McAfee.comshared*.*
• %PROGRAM FILES%Trend MicroPC-cillin 2002*.exe
• %PROGRAM FILES%Trend MicroInternet Security*.exe
• %PROGRAM FILES%NavNT*.exe
• %PROGRAM FILES%Kaspersky LabKaspersky Anti-Virus Personal*.ppl
• %PROGRAM FILES%Kaspersky LabKaspersky Anti-Virus Personal*.exe
• %PROGRAM FILES%GrisoftAVG7*.dll
• %PROGRAM FILES%TREND MICROOfficeScan*.dll
• %PROGRAM FILES%Trend MicroOfficeScan Client*.exe
• %PROGRAM FILES%LimeWireLimeWire 4.2.6LimeWire.jar
• %PROGRAM FILES%Morpheus*.dll
• %PROGRAM FILES%CAeTrust EZ ArmoreTrust EZ Antivirus*.*
• %PROGRAM FILES%Common Filessymantec shared*.*
• %PROGRAM FILES%Kaspersky LabKaspersky Anti-Virus Personal*.*
• %PROGRAM FILES%Kaspersky LabKaspersky Anti-Virus Personal Pro*.*
• %PROGRAM FILES%McAfee.comAgent*.*
• %PROGRAM FILES%McAfee.comshared*.*
• %PROGRAM FILES%McAfee.comVSO*.*
• %PROGRAM FILES%NavNT*.*
• %PROGRAM FILES%Norton AntiVirus*.*
• %PROGRAM FILES%Panda SoftwarePanda Antivirus 6.0*.*
• %PROGRAM FILES%Panda SoftwarePanda Antivirus Platinum*.*
• %PROGRAM FILES%SymantecLiveUpdate*.*
• %PROGRAM FILES%Trend MicroInternet Security*.*
• %PROGRAM FILES%Trend MicroPC-cillin 2002*.*
• %PROGRAM FILES%Trend MicroPC-cillin 2003 *.*

Der folgende Registryschlüssel wird hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

– HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun
• ScanRegistry = "scanregw.exe /scan"

Die Werte der folgenden Registryschlüssel werden gelöscht:

– HKLMSoftwareMicrosoftWindowsCurrentVersionRun
• CleanUp
• SECUR
• NPROTECT
• ccApp
• ScriptBlocking
• MCUpdateExe
• VirusScan Online
• MCAgentExe
• VSOCheckTask
• McRegWiz
• MPFExe
• MSKAGENTEXE
• MSKDetectorExe
• McVsRte
• PCClient.exe
• PCCIOMON.exe
• pccguide.exe
• Pop3trap.exe
• PccPfw
• tmproxy
• McAfeeVirusScanService
• NAV Agent
• PCCClient.exe
• SSDPSRV
• rtvscn95
• defwatch
• vptray
• ScanInicio
• APVXDWIN
• KAVPersonal50
• kaspersky
• TM Outbreak Agent
• AVG7_Run
• AVG_CC
• Avgserv9.exe
• AVGW
• AVG7_CC
• AVG7_EMC
• Vet Alert
• VetTray
• OfficeScanNT Monitor
• avast!
• PANDA
• DownloadAccelerator
• BearShare

– HKCUSoftwareMicrosoftWindowsCurrentVersionRun
• CleanUp
• SECUR
• NPROTECT
• ccApp
• ScriptBlocking
• MCUpdateExe
• VirusScan Online
• MCAgentExe
• VSOCheckTask
• McRegWiz
• MPFExe
• MSKAGENTEXE
• MSKDetectorExe
• McVsRte
• PCClient.exe
• PCCIOMON.exe
• pccguide.exe
• Pop3trap.exe
• PccPfw
• tmproxy
• McAfeeVirusScanService
• NAV Agent
• PCCClient.exe
• SSDPSRV
• rtvscn95
• defwatch
• vptray
• ScanInicio
• APVXDWIN
• KAVPersonal50
• kaspersky
• TM Outbreak Agent
• AVG7_Run
• AVG_CC
• Avgserv9.exe
• AVGW
• AVG7_CC
• AVG7_EMC
• Vet Alert
• VetTray
• OfficeScanNT Monitor
• avast!
• PANDA
• DownloadAccelerator
• BearShare

Alle Werte der folgenden Registryschlüssel und alle Subkeys werden gelöscht:
• SoftwareINTELLANDeskVirusProtect6CurrentVersio n
• SOFTWARESymantecInstalledApps
• SOFTWAREKasperskyLabInstalledProductsKaspersky Anti-Virus Personal
• SOFTWAREKasperskyLabComponents101
• SOFTWAREMicrosoftWindowsCurrentVersionApp PathsIface.exe
• SOFTWAREMicrosoftWindowsCurrentVersionUninstal lPanda Antivirus 6.0 Platinum

Folgende Registryschlüssel werden geändert:

Verschiedenste Einstellungen des Explorers:
– HKCUSoftwareMicrosoftWindowsCurrentVersionExp lorerAdvanced
Neuer Wert:
• "WebView"=dword:00000000
• "ShowSuperHidden"=dword:00000000

Verschiedenste Einstellungen des Explorers:
– [HKCUSoftwareMicrosoftWindowsCurrentVersionExp lorer
CabinetState]
Neuer Wert:
• "FullPath" = dword:00000001

So schützen Sie Ihr System
Installieren Sie das neueste Update für Ihren Virenscanner und seien Sie vorsichtig gegenüber E-Mails von unbekannten Absendern – besonders gegenüber E-Mails mit Links oder mit Anhang!