Wurm Tearec.AI

Verbreitung:-----> *****
Schaden:-----> *****

Der Wurm Tearec.AI ist zurzeit wieder per E-Mail unterwegs und lockt mit angeblichen Fotos im Anhang. Nach einem Doppelklick auf die im Anhang befindliche Datei, werden jedoch keine Bilder angezeigt, stattdessen installiert sich der Wurm auf dem betreffenden System.

Die E-Mail hat folgendes Aussehen

* Betreff: You Must View
* Dateianhang: Clipe.zip.exe
* Größe des Dateianhangs: 94.154 Bytes
* E-Mail-Text: See my photos. It's Free
* Betroffene Betriebssysteme: Alle Windows-Versionen.
* Installation auf dem System

Kopien seiner selbst werden hier erzeugt:

* %WINDIR%Rundll16.exe
* %SYSDIR%scanregw.exe
* C:WINZIP_TMP.exe
* %SYSDIR%Update.exe
* %SYSDIR%Winzip.exe
* %ALLUSERSPROFILE%Start MenuProgramsStartupWinZip Quick Pick.exe

Folgende Dateien werden überschreiben.

* Die enthaltene Zeitsynchronisation löst bei folgendem Zeitpunkt aus: Wenn der Tag den folgenden Wert hat: 3
* %alle Verzeichnisse%

Dateiendungen:

* .HTM
* .DBX
* .EML
* .MSG
* .OFT
* .NWS
* .VCF
* .MBX

Mit folgendem Inhalt:

* DATA Error [47 0F 94 93 F4 K5]

Folgende Dateien werden gelöscht:

* %PROGRAM FILES%DAP*.dll
* %PROGRAM FILES%BearShare*.dll
* %PROGRAM FILES%SymantecLiveUpdate*.*
* %PROGRAM FILES%Trend MicroPC-cillin 2003*.exe
* %PROGRAM FILES%SymantecCommon FilesSymantec Shared*.*
* %PROGRAM FILES%Norton AntiVirus*.exe
* %PROGRAM FILES%Alwil SoftwareAvast4*.exe
* %PROGRAM FILES%McAfee.comVSO*.exe
* %PROGRAM FILES%McAfee.comAgent*.*
* %PROGRAM FILES%McAfee.comshared*.*
* %PROGRAM FILES%Trend MicroPC-cillin 2002*.exe
* %PROGRAM FILES%Trend MicroInternet Security*.exe
* %PROGRAM FILES%NavNT*.exe
* %PROGRAM FILES%Kaspersky LabKaspersky Anti-Virus Personal*.ppl
* %PROGRAM FILES%Kaspersky LabKaspersky Anti-Virus Personal*.exe
* %PROGRAM FILES%GrisoftAVG7*.dll
* %PROGRAM FILES%TREND MICROOfficeScan*.dll
* %PROGRAM FILES%Trend MicroOfficeScan Client*.exe
* %PROGRAM FILES%LimeWireLimeWire 4.2.6LimeWire.jar
* %PROGRAM FILES%Morpheus*.dll
* %PROGRAM FILES%CAeTrust EZ ArmoreTrust EZ Antivirus*.*
* %PROGRAM FILES%Common Filessymantec shared*.*
* %PROGRAM FILES%Kaspersky LabKaspersky Anti-Virus Personal*.*
* %PROGRAM FILES%Kaspersky LabKaspersky Anti-Virus Personal Pro*.*
* %PROGRAM FILES%McAfee.comAgent*.*
* %PROGRAM FILES%McAfee.comshared*.*
* %PROGRAM FILES%McAfee.comVSO*.*
* %PROGRAM FILES%NavNT*.*
* %PROGRAM FILES%Norton AntiVirus*.*
* %PROGRAM FILES%Panda SoftwarePanda Antivirus 6.0*.*
* %PROGRAM FILES%Panda SoftwarePanda Antivirus Platinum*.*
* %PROGRAM FILES%SymantecLiveUpdate*.*
* %PROGRAM FILES%Trend MicroInternet Security*.*
* %PROGRAM FILES%Trend MicroPC-cillin 2002*.*
* %PROGRAM FILES%Trend MicroPC-cillin 2003 *.*

Der folgende Registryschlüssel wird hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

* HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun
ScanRegistry = "scanregw.exe /scan"

Die Werte der folgenden Registryschlüssel werden gelöscht:

* HKLMSoftwareMicrosoftWindowsCurrentVersionRun
* HKCUSoftwareMicrosoftWindowsCurrentVersionRun

Alle Werte der folgenden Registryschlüssel und alle Subkeys werden gelöscht:

* SOFTWAREINTELLANDeskVirusProtect6CurrentVersio n
* SOFTWARESymantecInstalledApps
* SOFTWAREKasperskyLabInstalledProductsKaspersky Anti-Virus Personal
* SOFTWAREKasperskyLabComponents101
* SOFTWAREMicrosoftWindowsCurrentVersionApp PathsIface.exe
* SOFTWAREMicrosoftWindowsCurrentVersionUninstal lPanda Antivirus 6.0 Platinum

Folgende Registryschlüssel werden geändert:

Verschiedenste Einstellungen des Explorers:
– HKCUSoftwareMicrosoftWindowsCurrentVersionExp lorerAdvanced
Neuer Wert:
• "WebView"=dword:00000000
• "ShowSuperHidden"=dword:00000000

Verschiedenste Einstellungen des Explorers:
– [HKCUSoftwareMicrosoftWindowsCurrentVersionExp lorer
CabinetState]
Neuer Wert:
• "FullPath" = dword:00000001