Wurm Rontok.C

Verbreitung: *****
Schaden: *****

Der Wurm Rontok.C ist zurzeit wieder per E-Mail unterwegs. Der Wurm versteckt sich in einer E-Mail, die angeblich vor dem Gebrauch von Drogen warnt. Weitere Informationen dazu, könne man dem Anhang der E-Mail entnehmen. Nach einem Doppelklick auf die im Anhang befindliche Datei, erhält man jedoch keine Informationen über die Gefahr von Drogen, sondern der Wurm installiert such auf dem betreffenden System.

Die E-Mail hat folgendes Aussehen

Betreff: Die Betreffzeile ist leer.

Dateianhang: kangen.txt.exe

E-Mail-Text: SAY NO TO DRUGS

Dateigröße: 81.920 Bytes

Betroffene Betriebssysteme: Alle Windows-Versionen

Installation auf dem System

Wird der Wurm ausgeführt, erstellt er folgende Dateien:
• %WINDIR%ShellNewElnorB.exe
• %SYSDIR%%aktueller Benutzernamen%'s Setting.scr
• %home%Start MenuProgramsStartupEmpty.pif
• %home%Local SettingsApplication Datasmss.exe
• %home%Local SettingsApplication Dataservices.exe
• %home%Local SettingsApplication Datainetinfo.exe
• %home%Local SettingsApplication Datacsrss.exe
• %home%Local SettingsApplication Datalsass.exe
• %home%Local SettingsApplication Datawinlogon.exe
• %home%Templatesbararontok.com
• %SYSDIR%driversetchosts-Denied By-%aktueller Benutzernamen%.com

In der Autoexec.bat wird folgender Befehl angelegt: – %WINDIR%TasksAt1.job Die Datei ist ein geplanter Task, welchen der Wurm zu einem vordefinierten Zeitpunkt ausführt.

Folgende Einträge werden in der Registry angelegt:

– HKLMsoftwaremicrosoftwindowscurrentversionrun
• "Bron-Spizaetus" = ""%WINDIR%ShellNewRakyatKelaparan.exe""

– HKCUsoftwaremicrosoftwindowscurrentversionrun
• "Tok-Cirrhatus" = ""
• "Tok-Cirrhatus-%vierstellige zufällige Buchstabenkombination%" = ""%home%Local SettingsApplication Databron%vierstellige zufällige Buchstabenkombination%on.exe""

Folgende Einträge werden in der Registry geändert:

Deaktivieren von Regedit und Task Manager:
– HKCUsoftwaremicrosoftwindowscurrentversionPol iciesSystem
Alter Wert:
• "DisableCMD" = %Einstellungen des Benutzers%
• "DisableRegistryTools" = %Einstellungen des Benutzers%
Neuer Wert:
• "DisableCMD" = dword:00000000
• "DisableRegistryTools" = dword:00000000

Verschiedenste Einstellungen des Explorers:
– HKCUsoftwaremicrosoftwindowscurrentversionPol iciesExplorer
Alter Wert:
• "NoFolderOptions" = %Einstellungen des Benutzers%
Neuer Wert:
• "NoFolderOptions" = dword:00000001

– HKCUsoftwaremicrosoftwindowscurrentversionexp loreradvanced
Alter Wert:
• "ShowSuperHidden" =%Einstellungen des Benutzers%
• "HideFileExt" = %Einstellungen des Benutzers%
• "Hidden" = %Einstellungen des Benutzers%
Neuer Wert:
• "ShowSuperHidden" = dword:00000000
• "HideFileExt" = dword:00000001
• "Hidden" = dword:00000000

So schützen Sie Ihr System
Installieren Sie das neueste Update für Ihren Virenscanner und seien Sie vorsichtig gegenüber E-Mails von unbekannten Absendern – besonders gegenüber E-Mails mit Links oder mit Anhang!