Wurm Ntech

Verbreitung: *****
Schaden: *****

Der Wurm Ntech ist unterwegs. Angeblich soll sich im Anhang der E-Mail ein Spiel befinden. Nach einem Doppelklick auf die im Anhang befindliche Datei, erhält man jedoch kein Spiel, stattdessen installiert sich der Wurm auf dem betreffenden System.

Die E-Mail hat folgendes Aussehen

Betreff: Versprochenes Spiel im Anhang.

Dateianhang: Die gepackte Datei Game.zip welche den Wurm enthält.

Größe des Dateianhangs: 20.992 Bytes.

E-Mail-Text: Unterschiedlicher Text.

Betroffene Betriebssysteme: Alle Windows-Versionen.

Installation auf dem System

Wird der Anhang ausgeführt, kopiert sich der Wurm unter folgenden Dateinamen in diese Windows-Systemverzeichnisse:

– %SYSDIR%driversecdrv.sys
– %SYSDIR%driverruntime.sys

Des weiteren wird sie ausgeführt nachdem sie
vollständig erstellt wurde. Erkannt als: RKit/Posh.A

– %WINDIR%tempstartdrv.exe Erkannt als: Worm/Ntech.C
– %SYSDIR%driverruntime2.sys Erkannt als: RKit/Posh.A

Es wird versucht folgende Datei auszuführen:

• %SYSDIR%driverruntime2.sys

Diese Datei wird verwendet, um den Prozess vor dem Task Manager zu verstecken. Erkannt als: RKit/Posh.A

Der folgende Registry-Schlüssel wird hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

– HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun
• startdrv"="%WINDIR%Tempstartdrv.exe"

Folgende Registryschlüssel werden hinzugefügt:

– HKLMSYSTEMCurrentControlSetEnumRootLEGACY_SEC DRV{SPAW EDITOR}00Control
ActiveService
• Secdrv

– HKLMSYSTEMControlSet001EnumRootLEGACY_RUNTIME {SPAW EDITOR}00Control
ActiveService
• runtime

– HKLMSYSTEMControlSet001EnumRootLEGACY_RUNTIME 2{SPAW EDITOR}00Control
ActiveService
• runtime2

So schützen Sie Ihr System

Installieren Sie das neueste Update für Ihren Virenscanner und seien Sie vorsichtig gegenüber E-Mails von unbekannten Absendern – besonders gegenüber E-Mails mit Links oder mit Anhang!