Copyright: Copyright © 1996-2004 H+BEDV Datentechnik GmbH
Citation: Copyright © 1996-2004 H+BEDV Datentechnik GmbH


1008 Virus

Kurzinformationen

Alias:	Suomi, Oulu

Art: 	Residenter .COM-Infektor

Länge: 	1008 Bytes

Symptome: 	COMMAND.COM wird größer, Stack-Fehler im Betriebssystem, Rechner bleibt beim Booten stehen

Allgemeine Beschreibung:

Der 1008 Virus ist verschlüsselt und stammt möglicherweise aus Finnland. Er installiert sich resident im Speicher und befällt sofort COMMAND.COM. Jedes nun gestartete .COM-Programm wird ebenfalls infiziert. Die Vergrößerung der befallenen Dateien kann nicht erkannt werden, wenn der Virus im Speicher aktiv ist.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


1253

Kurzinformationen

Art:	Residenter .COM Infektor

Länge:	1253 Bytes

Allgemeine Beschreibung:

Der Virus installiert sich auf herkömmlichen Weg resident und infiziert jede geladene .COM Datei. Im vierten bis sechsten Byte einer infizierten Datei ist folgende Kennung zu finden:

V-1

Am 24. Dezember jeden Jahres überschreibt der Virus den kompletten Datenträger mit einem sich wiederholenden Muster von neun Sektoren. Unter Umständen kann es zu unkontrollierten Diskettenaktivitäten nicht angesprochener Laufwerke kommen.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


1260

Kurzinformationen

Alias:	V2P1

Art:	COM-Infektor

Länge:	1260 Bytes

Ähnlichkeit:	Wiener

Allgemeine Beschreibung:

Stark verschlüsselter Virus, infiziert extrem schnell.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


12-Ticks (Trojanisches Pferd)

Dieses trojanische Pferd ersetzt den Master-Bootsektor einer Festplatte mit seinem eigenen. Das Programm kommt "huckepack" auf dem Festplattentest der Firma Core und kann Namen wie CORETST, CORETnnn etc. haben. Die Veränderung des Bootsektors kann leicht durch folgenden Text im Master-Bootsektor ausgemacht werden:

SOFTLoK+ V3.0 SOFTGUARD SYSTEMS INC

2840 St. Thomas Expwy,suite 201

Santa Clara,CA 95051 (408)970-9420

12-Tricks, der seinen Namen von der Anzahl der 'Tricks', die er veranstaltet, bekommen hat, versucht auf verschiedenen Wegen an den originalen Einsprungspunkt in das Festplatten-BIOS im ROM zu kommen. Hat er diesen Einsprungspunkt gefunden, kann er den Master-Bootsektor ändern, ohne auf residente Wächterprogramme Rücksicht nehmen zu müssen. Aus diesem geänderten Master-Bootsektor kopiert 12-Tricks bei einem Neustart rund 200 Bytes in einen selten genutzten Bereich der Interrupttabelle. Dies hat den Vorteil, daß er sich nicht via Betriebssystem resident installieren muß oder durch eine Verringerung des 640KB Bereiches auffällt.

12-Tricks installiert eine von zwölf verschiedenen Routinen beim Neustart eines Systems. Neben Verzögerungen sind langsame Veränderungen an der FAT möglich.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


405

Kurzinformationen

Art:	Überschreibender, nicht residenter .COM Zerstörer

Länge:	405 Bytes

Allgemeine Beschreibung:

Der 405 Virus ist leicht zu entdecken, da er die ersten 405 Bytes einer zu infizierenden Datei einfach überschreibt. Hierdurch werden die befallenen Programme in der Regel unbrauchbar und müssen ersetzt werden. Programmdateien kleiner als 405 Bytes haben nach der Infektion eine Länge von 405 Bytes.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


4096

Kurzinformationen

Alias:	100 Years, IDF, Stealth, Frodo, Century

Art:	Residenter .COM und .EXE Infektor

Länge:	4096 Bytes

Allgemeine Beschreibung:

Ein durchaus übler Zeitgenosse. Der Virus versucht sich resident unter Umgehung des Betriebsystemes zu installieren und reserviert für seine Zwecke am oberen Ende des Hauptspeicher Platz für sich. Diese Verringerung des Hauptspeichers wird nicht im BIOS vermerkt. Im Single Step Verfahren klinkt sich der Virus auf unterster Ebene in das Betriebssystem ein und umgeht dabei selbst eventuell installierte 'Wachhund-Programme'. Der Virus verfügt über einige Techniken, die das Auffinden erschweren. Hierzu gehört auch die sehr eigenwillige Verlängerung der MCB-Chain. Merkt der Virus, daß auf ihn selbst zugegriffen wird, so verzieht er sich schleunigst, um seine Spuren zu verwischen. Er infiziert alles, was er bekommen kann und am allerschnellsten versucht er COMMAND.COM zu infizieren. Auch der 4096 infiziert Dateien sowohl beim Laden als auch beim Öffnen. Über die in der Hunderterstelle des Directoryeintrages um 100 erhöhte Jahreszahl 'merkt' sich der Virus, welche Datei infiziert ist. Diesen Taschenspielertrick nutzt er, um bei der Ausgabe des Directories die originale Dateilänge zurückgeben zu können. Darüber hinaus legt er auch noch CRC-Programme flach, da infizierte Dateien zwar physikalisch infiziert sind, der Virus aber auf DOS-Ebene beim Öffnen einer Datei immer nur die Originaldatei zurückgibt und Änderungen elegant vor anderen Programmen verbirgt. Zwischen dem 22.9. und dem 31.12. eines Jahres bleibt ein infizierter Rechner einfach stehen. Eigentlich sollte am Bildschirm über einen infizierten Bootsektor folgende Meldung erscheinen:

FRODO LIVES

Der 4096 manipuliert die FAT einer Festplatte, so daß in der Regel das Dateisystem gründlich durcheinander gebracht wird. Dies wird besonders beim CHKDSK Befehl deutlich. Darüber hinaus kann der Virus auch Datendateien befallen.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


8 Tunes

Kurzinformationen

Art:	Residenter .COM und .EXE Infektor

Länge:	1971 Bytes

Allgemeine Beschreibung:

Nach etwa 30 Minuten ertönt ein Potpourri acht verschiedener deutscher Volkslieder, bei einigen Versionen vergehen zwischen der Infizierung und er ersten Melodie drei Monate.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


903

Kurzinformationen

Länge:	903 Bytes

Art:	residenter .COM-Infektor

Allgemeine Beschreibung:

Der nach seiner Länge benannte 903-Virus installiert sich auf konventionelle Weise im unteren DOS-Speicher und infiziert alle Dateien im aktuellen Verzeichnis. Der Virus enthält Code, um die ersten 6 Sektoren auf der Festplatte zu zerstören. Derzeit wird analysiert, ob und wann dieser Code ausgeführt wird. Sollten mehrere speicherresidente Programme installiert sein, ist ein Systemabsturz zu erwarten, da der Virus für eigene Zwecke einen Bereich ab 384 KByte benutzt. Dieser Bereich könnte von anderen Programmen belegt sein.

Durch eine Interruptroutine prüft der 903, ob ALT-CTRL-DEL gedrückt wurde und bleibt auch nach dem Warmstart im Speicher aktiv.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


AIDS Information Introductory Disk 2.0 (Trojanisches Pferd)

Am Montag, den 11. Dezember 1990, wurden in Großbritannien mehrere tausend Disketten per Post an etwa 7.000 Abonnenten der englischen Zeitung PC Business World und an eine unbekannte Anzahl weiterer Teilnehmer einer Aids-Konferenz des Oktobers 1988 versandt. Das Programm sollte Informationen über das persönliche Aids-Risiko ausgeben können, ließ sich jedoch nicht ohne Installationsprogramm anwenden. Das Installationsprogramm enthielt ein trojanisches Pferd.

Dieses Installationsprogramm erzeugt während der Installation einige neue Dateien und versteckte Verzeichnisse auf der Festplatte. Ihre Namen bestehen aus einer Kombination des ASCII-Zeichens 255, welches normalerweise als Leerzeichen dargestellt wird, und dem 'normalen' Leerzeichen, ASCII-Code 32. Beginnend beim Hauptverzeichnis der Festplatte erzeugt das Installationsprogramm fünf weitere Verzeichnisebenen mit Variationen dieser Zeichenkombinationen.

In diesen Unterverzeichnissen legt das Installationsprogramm verschiedene Dateien ab, die für den weiteren Verlauf einer Zählerschleife nötig sind. Die Datei AUTOEXEC.BAT wird im Hauptverzeichnis dahingehend geändert, daß nach Abarbeitens der AUTOEXEC.BAT-Datei die 'normale' AUTOEXEC.BAT unter dem Namen AUTO.BAT aufgerufen wird. Ein unscheinbarer Eintrag in dieser neuen AUTOEXEC.BAT ist eine Zeile mit folgendem (gekürztem) Inhalt:

REM  PLEASE USE THE auto.bat FILE INSTEAD OF autoexec.bat

Normalerweise fallen die zwei Leerzeichen nach dem REM nicht auf. Das erste Leerzeichen ist aber wiederum das ASCII-Zeichen 255. Das Betriebssystem interpretiert diese vier Zeichen nun nicht als ein normales REM in Batchdateien, sondern als Programmaufruf. Tatsächlich hat doch das Installationsprogramm in einem dieser Unterverzeichnisse eine Datei namens REM .EXE installiert, welches nun aufgerufen wird und einen in einem anderen Unterverzeichnis stehenden Zähler hochzählt.

Nach etwa 90 Neustarts beginnt die Schadensroutine: die Festplatte wird verschlüsselt. Während dieser Zeit wird der Benutzer am Bildschirm gebeten, den Rechner doch bitte nicht abzustellen. Danach wird man aufgefordert, seine Softwarelizenz zu erneuern. Die Festplatte enthält nur eine 'sichtbare' Datei: CYBORG.DOC.

Die Verschlüsselung findet durch Ändern der Dateinamenserweiterung statt. Die Dateinamenserweiterungen aller Dateien werden mit einer internen Tabelle verglichen. Existiert ein Tabelleneintrag für eine Dateinamenserweiterung, wird die Dateinamenserweiterung durch den zweiten Tabelleneintrag ersetzt, der für diesen Eintrag in der ersten Tabelle existiert. Die Buchstaben des Dateinamens selbst werden Zeichen für Zeichen verschlüsselt. Anschließend werden alle Verzeichnisse selbst als READ-ONLY und HIDDEN markiert, erscheinen also nicht mehr beim "dir". Die Directorynamen selbst, die beiden Systemdateien im Hauptverzeichnis und der COMMAND.COM werden nicht verschlüsselt.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Akuku

Kurzinformationen

Alias:	Hybrid

Art:	Residenter .COM-Infektor

Länge:	1306 Byte

Ähnlichkeiten:	Vienna

Allgemeine Beschreibung:

Ab 1992 jeden Freitag den 13. kopiert der Virus nach einem Aufruf eines infizierten Programms ein trojanisches Pferd in den Bootsektor des aktuellen Laufwerks, setzt er die Anzahl der Laufwerke auf 1 und die Speichergröße auf 256 KB. Folgende Nachricht erscheint:

Wirus v. 1.0 (c) Hybrid Soft Specjalne podziekowania dla Andrzeja Kadlofa i Marriuze

Deca za artykuly w Komtuterze 11/88.

Anschließend teilweise Formatierung dieses Laufwerks.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Alabama

Kurzinformationen

Art:	Residenter .EXE Infektor

Länge: 	1560 Bytes

Allgemeine Beschreibung:

Der Virus installiert sich unter Umgehung des Betriebsystemes etwa 30KB unter der Oberkante DOS resident, reduziert aber nicht die maximale Größe von DOS, was zu unvorhersehbaren Problemen führen kann. Er hängt sich noch in den Tastaturinterrupt ein und 'überwacht' mit diversen IN und OUT Befehlen die Tastatur, während er auf die Resetkombination <Ctrl-Alt-Del> (<Strg-Alt-Lösch>) wartet. Erfolgt ein Systemreset durch <Ctrl-Alt-Del> (<Strg-Alt-Lösch>), verbleibt der Virus trotzdem im Speicher, indem er selbst den Rechner bootet.

Nachdem der Virus für etwa eine Stunde aktiv im System war, erscheint die folgende Nachricht in einem blinkenden Fenster:

SOFTWARE COPIES PROHIBITED BY INTERNATIONAL LAW......

Box 1055 Tuscambia ALABAMA USA.

Der eigentliche Clou an diesem Virus aber ist seine Infektionsroutine. Er infiziert nicht das gerade aufgerufene Programm, es sei denn, dies ist das letzte nicht infizierte Programm in diesem Directory. Ab und zu tauscht der Virus aber, anstelle eine Datei zu infizieren, einfach deren FAT Einträge mit denen des gerade auszuführenden Programmes aus, ohne es aber umzubenennen. So startet man mit XCOPY vielleicht unbeabsichtigt den HDFORMAT. In der Regel erfolgt dieses Austauschen von FAT-Einträgen aber nur an jedem Freitag.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Amilia

Kurzinformationen

Art:	Speicherresidenter File-Virus

Länge:	1164 Byte

Ähnlichkeiten: 	Murphy

Allgemeine Beschreibung:

Infizierung von allen COM- und EXE- Files die ausgeführt oder geöffnet werden und größer als 1614 Byte sind.

COM-Files müssen kleiner als 64000 Byte sein. Wenn am Sonntag ein infiziertes EXE-Programm aufgerufen wird, erscheint der Text:

Amilia I Virii - [Nuke]

Released Dec91 Montreal

(C) Nuke Development Software Inc

Anschließend wird das Programm beendet.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Amoeba

Kurzinformationen

Alias:	Khetapunk, 1392, Maltese

Art:	speicherresidenter .COM- und .EXE-Infektor

Länge:	1392 Byte

Allgemeine Beschreibung:

Die Files werden nur infiziert, wenn Sie mindestens 512 Byte und maximal 60 KByte lang sind. Der Virus hat keine Schadensfunktionen, sondern simuliert ausschließlich Fehler, die zu Nebeneffekten führen können. Der Virus enthält den verschlüsselten Text:

SMA KHETAPUNK - NOUVEL Band A.M.O.E.B.A by Primesoft Inc"

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Angelina (Bootsektorvirus)

Kurzinformationen

Alias:	Stoned-Angelina

Ähnlichkeiten:	Parity

Allgemeine Beschreibung:

Der Angelina-Virus ist ein residenter Bootsektor-Infektor (BSI) mit der Fähigkeit, sich auf dem infizierten Medium zu verstecken (also ein Stealth-Virus). Wie jeder reine BSI gelangt er durch verseuchte Medien in das System, wenn von diesen gebootet wird. Während der Infektion kopiert der Virus den sauberen Original-Bootsektor in einen meist unbenutzten Bereich im Hauptverzeichnis des Mediums und lenkt alle Lesezugriffe vom Bootsektor auf diese Kopie um. Er installiert sich oben im konventionellen Speicherbereich und reduziert den für DOS verfügbaren Speicher um 1 KB.

Angelina besitzt eine kleine Installations-Routine, um sich im Speicher zu verankern. Diese Routine dekrementiert zuerst die Speichergröße um das benötigte Kilobyte und berechnet dann anhand dieses Wertes das Segment, in welches er sich nun hineinkopiert. Danach wird der Text "Greetings for ANGELINA !!!/by Garfield/Zielona Gora" im Datenbereich des Virus entschlüsselt, der Interrupt-Vektor 13h gesichert und auf den Int 13h-Handler des Virus umgebogen. Nun ist Angelina (genauer: der virulente Int 13h) installiert, und der Boot Strap Loader (Interrupt 19h) kann noch einmal ausgeführt werden.

Der Int 13h-Handler fängt ausschließlich Lesezugriffe auf den Bootsektor ab, alle anderen Sektoren können normal gelesen oder geschrieben werden. Der Bootsektor wird in den Speicher gelesen, der von der Anwendung bestimmt worden ist, und der Angelina-Virus testet, ob der Sektor bereits infiziert worden ist. Ist das der Fall, liest Angelina die Kopie des sauberen Bootsektors in den Puffer der Anwendung und kehrt zu dieser zurück. Falls der Bootsektor nicht infiziert ist, berechnet Angelina die Position, an die der eben gelesene Sektor geschrieben wird. Diese Position errechnet sich aus den Disk-Parametern und hängt daher von der Speicherkapazität des Mediums ab. Der Virus versucht dann, den saubereren Bootsektor dorthin zu schreiben. Auf schreibgeschützten Disketten wird der dort auftretende Schreibfehler verdeckt. Die Anwendung wird in ihrem Ablauf fortgesetzt, ohne das sie etwas von der Tätigkeit des Virus mitbekommt. Nach der erfolgreichen Sicherung des Bootsektors werden die Bereiche der Disk Parameter Table und des Partition Records in das Segment des Virus kopiert und zusammen mit dem Angelina-Code in den Bootsektor geschrieben. Damit ist der Bootsektor infiziert. Zuletzt werden die eingangs gesicherten Prozessor-Register auf ihre alten Werte zurückgesetzt. Die Anwendung, die den Bootsektor anforderte, bekommt lediglich den gesicherten, sauberen Sektor vom Int 13h zurück. Der Angelina wird als Stoned-Variante bezeichnet, obwohl er dem Parity wesentlich ähnlicher ist.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Anthrax

Kurzinformationen

Länge:	1048 Bytes

Art:	Residenter .EXE- und .COM-Infektor

Allgemeine Beschreibung:

Auf Festplatten kopiert Anthrax seinen Code ans Ende der Startpartition der ersten Festplatte. Falls dort Daten gespeichert waren, sind diese anschließend zerstört. Wird ein infiziertes Programm gestartet, setzt sich der Virus in den Master-Bootsektor und bleibt zu diesem Zeitpunkt nicht resident im Speicher. Erst nachdem von der Festplatte gestartet wurde, setzt sich Anthrax im Speicher fest und infiziert jedes gestartete Programm ohne zu prüfen, ob dies bereits infiziert ist. Das hat zur Folge, daß COMMAND.COM mit jedem Aufruf auf eine Größe wächst, die es dem Betriebssystem schließlich unmöglich macht, diese Datei zu laden und auszuführen. Es kann nicht mehr gebootet werden. Interessanterweise schaut ein anderer Virus (V2100) am oberen Ende der Festplatte nach, ob sich dort Code von Anthrax befindet und kopiert diesen wieder in den Master-Bootsektor. Soll hier eine manuelle Reparatur - beispielsweise mit den Norton Utilities - durchgeführt werden, muß dieser Bereich nach der Restauration des Master-Bootsektors überschrieben werden.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


AntiExe (Bootsektorvirus)

Kurzinformationen

Alias:	D3, NewBug

Allgemeine Beschreibung:

Der AntiEXE-Virus, auch NewBug oder D3 genannt, ist ein reiner Bootsektorvirus und verkleinert den zur Verfügung stehenden Hauptspeicher im 640 KB-Bereich. Er sucht nach bestimmten Antiviren-Programmen.

Der Virus ist ein residenter Stealth-Bootsektorvirus. Wird ein Rechnersystem von einer infizierten Diskette gestartet, infiziert der Virus das System. Während der Infektion einer Festplatte kopiert er den sauberen Master-Bootsektor in einen unbenutzten Bereich (Head 0, Cylinder 0, Sector 13) und lenkt alle weiteren Lesezugriffe auf den Master-Bootsektor auf diese Kopie um.

Bei der Infektion einer Diskette wird eine Kopie des nicht infizierten Bootsektors im letzten Sektor des Rootdirectories abgelegt. Hier stehende Einträge gehen verloren, Datenverluste sind hierdurch vorprogrammiert, jedoch eher selten.

Die Installationsroutine des AntiEXE-Virus ermittelt die Einsprungadresse des Interrupts 13h. Anschließend vermindert der Virus den zur Verfügung stehenden unteren Hauptspeicherbereich (0-640 KB) um ein Kilobyte und korrigiert die Angabe des konventionellen Hauptspeichers. In den auf diese Art "belegten" Speicher kopiert sich der Virus hinein. Die ermittelte Adresse des Interruptvektors 13h wird auf den Interruptvektor D3h übertragen. Beide Interruptvektoren "zeigen" zu diesem Zeitpunkt noch auf denselben Programmcode, später verwendet der Virus zum Ausschalten residenter Virenwächter und -Blocker anstelle des Interrupts 13h einfach den Interrupt D3h.

Beim Systemstart von einer infizierten Diskette prüft der Virus nach residenter Installation, ob der Master-Bootsektor der ersten Festplatte bereits infiziert wurde. Ist dieser noch nicht infiziert, wird der originale Master-Bootsektor "zur späteren Verwendung" wegkopiert. Anschließend wird der aktuelle Master-Bootsektor modifiziert und der originale Bootsektor der Diskette für einen weiteren Systemstart nachgeladen.

Bei aktivem Virus wird nicht bei jedem Zugriff auf eine nicht infizierte Diskette der Bootsektor infiziert. Mit den üblichen Stealth-Eigenschaften versehen, gibt der Virus beim Zugriff auf den Bootsektor bei Disketten bzw. den Master-Bootsektor bei Festplatten immer den jeweils originalen Sektor zurück, d.h. der Virus leitet die Zugriffe einfach um.

Bei einem lesenden Zugriff auf einen beliebigen Sektor prüft der Virus bei gesetzten Bits 0 und 1 des Tick counters (Hochzählregister, daß die Anzahl der "Ticks" seit Mitternacht mitführt), ob der gelesene Sektor den Startsektor eines bestimmten EXE-Programmes entspricht und modifiziert dann diesen Sektor. Das Programm ist danach nicht mehr lauffähig.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


April

Kurzinformationen

Alias:	Suriv

Art:	Residenter .COM- und .EXE-Infektor

Länge:	ca. 900 Bytes und mehr

Allgemeine Beschreibung:

Der April Virus arbeitet auf zwei verschiedene Arten. Am ersten April wird der eher harmlose Teil aktiv und schickt das System in eine Schleife, aus der es nicht mehr zurückkehrt, nebenbei werden auch noch Dateien gelöscht. Der zweite Teil ist schon etwas effektiver. Nach residenter Installation wird jedes neue Programm infiziert. Es werden sowohl '.COM' als auch '.EXE' Dateien betroffen und nach 53 Minuten hört das befallene Rechnersystem auf zu arbeiten. Es erscheint dann folgende Meldung am Bildschirm:

'APRIL 1ST HA HA HA - YOU HAVE A VIRUS'.

Manche Abarten geben beim Infizieren einer Datei noch einen kleinen Text von sich:

'YOU HAVE A VIRUS'

Dieser Virus weicht bei der Infektion von .EXE-Dateien von der standardmäßigen Infektionsmethode ab. Er klemmt sich zwischen den letzten Relokationseintrag der Relokationstabelle und dem Code. Dies erfordert ein Umrechnen aller Relokationseinträge in der Relokationstabelle, da er den Code des Programmes selbst verschoben hat.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Azusa (Bootsektorvirus)

Der Azusa-Virus versucht sich im Master-Bootsektor der Festplatte und im Bootsektor von Diskette einzunisten. Er prüft bei jedem Diskettenzugriff, ob die eingelegte Diskette nicht schon infiziert ist. Es genügt bei aktivem Virus also bereits ein DIR A: um die Diskette zu infizieren.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Barrotes

Kurzinformationen

Art:	Residenter .EXE- und .COM-Infektor

Länge:	1310 Bytes

Symptome:	Zerstört Master-Bootsektor am 4. Januar!

Allgemeine Beschreibung:

Der scheinbar aus Spanien stammende Virus infiziert Programme und Programmodule (Overlays in separaten Dateien) bei deren Ausführung. Zusätzlich befällt er sofort COMMAND.COM im Hauptverzeichnis von Laufwerk C:. Nicht infiziert werden Programme, deren Overlays innerhalb der .EXE-Datei des Hauptprogrammes liegen. Der Virus prüft mit INT 21h/AH=EEh ob er schon resident im Speicher sitzt. Dies ist der Fall, wenn AH=FEh zurückgeliefert wird. Am 5. Januar überschreibt der Virus den Master-Bootsektor der ersten Festplatte im System mit Teilen der Interrupttabelle! Danach erscheinen Balken in ständig wechselnden Farben auf dem (Farb)Bildschirm und folgender Text wird ausgegeben:

Virus¯BARROTES¯pos¯OSoften

Der Virus enthält die Texte: "c:\command.com" und am Ende infizierter Dateien "l7SO".

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Basic

Kurzinformationen

Art:	Nicht residenter .COM und .EXE Infektor

Länge:	5120, 5128, 5135 Bytes

Allgemeine Beschreibung:

Die erste Form des Basic Virus infiziert nach dem 6. Juli 1989. Der Virus wurde vermutlich in Turbo Basic mit Assemblerteilen geschrieben. In der Regel infiziert der Virus pro Aufruf eine Datei im aktuellen Unterverzeichnis, anschließend versucht er auf Laufwerk C: eine weitere Datei zu infizieren. Die Fehlermeldungen des Betriebsystemes werden vom Virus nicht abgefangen. Es besteht die Gefahr der Zerstörung von Datendateien bzw. der Zerstörung von Daten/Programmen durch 'Cross-Linking' von Dateien.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


BDS/Surila.i

Kurzinformationen

Virusname:  	BDS/Surila.i

Alias: 	BackDoor-CEB.c

Viren Typ: 	Backdoor

Dateigröße: 	234.496 Bytes

Betriebsysteme: 	Microsoft Windows NT/2000/XP/Server 2003

Ursprung: 	unbekannt

Datum: 	09.09.2004

Schadensroutine: 	Verbindet sich mit verschiedenen IRC Servern.

VDF Version: 	6.27.00.52

Schaden:	medium

Verbreitung:	low

Allgemeine Beschreibung:

Dieser Backdoor Trojaner wird von dem Emailwurm "Worm/Mydoom.U" nachgeladen.

Nachdem der Backdoor Trojaner gestartet wurde macht er folgenden Registryeintrag:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\dx32cxel]

Er kopiert sich selbst in folgende Verzeichnisse:

%STARTUP%\dx32cpl.exe

%sysdir%\dx32cpl.exe

Außerdem werden folgende Dateien erstellt:

%sysdir%\dx32cxel.sys (4096 bytes)

%sysdir%\dx32cxconf.ini (17 bytes)

%sysdir%\SVKP.SYS (2368 bytes)

Die "hosts" Datei wird dahingehend verändert, dass Webseiten vieler Antivirenhersteller nicht mehr aufgerufen werden kann. Die "hosts" Datei befindet sich üblicherweise hier:

%sysdir%\drivers\etc\hosts

Der oben aufgelistete Registryeintrag bewirkt, dass die Datei "dx32cxel.sys" als Service gestartet wird. Ist sie als Service aktiv versteckt sie Dateien und den Prozess vor dem Nutzer.

Sind Überwachungsprogramme wie Filemon oder Regmon aktiv erscheint eine Meldung die den Nutzer zum beenden der Programme bewegen soll.

Wenn BDS/Surila.i aktiv ist versucht er Kontakt mit verschiedenen IRC-Servern aufzunehmen in dem er versucht eine Verbindung mit verschiedenen IP-Adressen herzustellen.

Symptome:

Vorhandensein der genannten Dateien und Registry Einträge.

Infektionsweg:

Wird nachgeladen von "Worm/MyDoom.U"

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Bestwish

Kurzinformationen

Art:	Residenter .COM Infektor

Länge:	970 Bytes

Allgemeine Beschreibung:

Infiziert neben .EXE- auch Windows- und OS/2-Dateien. Verlängert diese aber nur um 970 Bytes, ohne den Virus eigentlich bei einem Programmstart aktivieren zu können. Das Reparaturprogramm AntiVir kann diese Verlängerungen nur im GURU-Modus entdecken.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Black Jack

Kurzinformationen

Alias: 	Cascade, 1701, 1704, Falling Letters, Falling Leaves, Herbstlaub

Art:	Residenter .COM Infektor (eine Version auch .EXE)

Länge:	meist 1701 Bytes oder 1704 Bytes

Allgemeine Beschreibung:

Black Jack (der Name stammt von seiner  Länge in Anlehnung an das Kartenspiel '17 und 04') ist eine sogenannte Zeitbombe, da er erst ab einem bestimmten Zeitpunkt aktiv wird (lediglich die Infektion anderer Dateien findet auch vor diesem Auslösedatum statt). Als Auslösedatum von Black Jack kann man bestenfalls den sehr ungenauen Termin 'Herbst eines jeden Jahres' angeben, da es mittlerweile eine große Anzahl von Varianten und Abkömmlingen gibt, die ihrerseits andere Auslösedaten tragen können. Black Jack stört nach seiner Aktivierung die Bildschirmausgabe - Buchstaben fallen 'vom Bildschirm' (daher auch der Name 'Herbstvirus' oder 'Falling Letters/Falling Leaves'). Diese Effekte treten allerdings erst nach längerer Zeit auf, womit seitens des Virus bezweckt wird, daß der Anwender keinen Verdacht schöpft und die Störungen auf einen Systemfehler zurückführt. Eine weitere Besonderheit von Black Jack ist die Tatsache, daß eine Version keine originalen IBM-Systeme befällt (auch Computer, die über ein IBM-ROM-BIOS verfügen, werden verschont). Darüber hinaus befällt eine neue Art auch .EXE Dateien. Befallene Dateien werden um 1704 Bytes (+/- ein paar Bytes für die Varianten) vergrößert. Der Virus selbst ist intern verschlüsselt und decodiert sich zur Laufzeit erst einmal selbst. Wie auch der Israel Virus überwacht er das Laden von Programmen und läßt sich die Dateinamen zu infizierender Dateien 'frei Haus' liefern. Über die Unterfunktion 0FFh des INT 21h prüft der Virus nach, ob er selbst nicht schon aktiv im System vorhanden ist.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Brain Boot (Bootsektorvirus)

Kurzinformationen

Alias:	Pakistani

Ähnlichkeiten:	Ashar

Allgemeine Beschreibung:

Diesen Virus gibt es sowohl in einer reinen Diskettenversion als auch in einer Version, die zusätzlich Festplatten infiziert. Je nach Größe belegt der Virus zwischen 3KB und 7KB Speicher. Meist tragen die infizierten Datenträger als Volume Label '(c) Brain'. Infizierte Disketten haben etwa 3KB an schlechten Sektoren, 6 Stück á 512 Bytes. Eine Version soll ab dem 5. Mai 1992 die FATs (FAT - File Allocation Tables) zerstören. Zumeist meldet sich der Virus mit der Meldung:

Welcome to the Dungeon

(c) 1986 Brain & Amjads (pvt) Ltd

VIRUS_SHOE RECORD    V9.0

Dedicated to the dynamic memories

of millions of virus who are no longer with us

today - Thanks GOODNES!!

Darüber hinaus verlangsamt der Virus Diskettenzugriffe und verursacht sogenannte Time Outs, was manche Diskettenlaufwerke unbenutzbar macht. Er überwacht den INT 13h, über den alle Diskoperationen laufen, wodurch es auch Antivirus-Programmen sehr schwer gemacht wird, den ursprünglichen Bootsektor zu lesen, denn der Virus gibt den anscheinend originalen zurück. So nebenbei wird beim erstmaligen Lesen einer Diskette bei verseuchter Festplatte die Diskette auch infiziert.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Breasts (Bootsektorvirus)

Breasts ist ein sehr einfacher Bootsektorvirus, ist unverschlüsselt und besitzt keine Tarnkappeneigenschaften. Er belegt im Speicher 16384 Bytes und "verbiegt" den Interruptvektor 13h auf eine eigene Routine.

Breasts speichert den originalen Bootsektor von HD-Disketten auf Spur 79 ab. Sollten sich dort Daten befinden, so werden diese überschrieben (Datenverlust!). 2D-Disketten (z.B. 360K oder 720K) besitzen nur 40 Spuren. Da der Virus das Diskettenformat nicht prüft, geht somit auf diesen Disketten der originale Bootsektor verloren: Von einer infizierten 2D-Diskette kann nicht gebootet werden, da sich der Virus in einer Endlosschleife immer wieder selbst startet.

Der Master-Bootsektor von Festplatten wird in einem (normalerweise) unbenutzten Bereich "hinterlegt" und kann somit von AntiVir restauriert werden. Eine Schadensroutine ist in der uns vorliegenden Variante ebensowenig vorhanden wie eine Textausgabe auf den Bildschirm.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Burger Virus

Kurzinformationen

Alias:	909090, CIA

Art:	Überschreibender, nicht residenter '.COM' (einer auch '.EXE') Infektor

Länge:	560, 736, 1280 Bytes

Allgemeine Beschreibung:

Die Kennung dieses Virus ist zumeist 909090h am Anfang einer Datei. Wird eine infizierte Datei geladen, so versucht der Virus eine andere .COM Datei zu infizieren. Eine Version benennt, wenn es keine .COM Dateien mehr findet, einfach alle '.EXE' in '.COM' um und wiederholt das Spielchen. In der Regel werden dann aber die ersten 560 Bytes überschrieben.

Nachdem in unseren Programmen dieser Virus als Burger Virus klassifiziert wurde, haben wir auch eine Abmahnung von den Rechtsanwälten des im Copyright namentlich Genannten bekommen. Diese haben übrigens teilweise an seinen Büchern mitgewirkt. Die Antwort auf unsere Erwiderung auf die Abmahnung steht aber seit einem halben Jahr aus. Leider verfügen die heutigen Computer noch nicht über soviel Rechtsverständnis, daß dieser Virus gar kein Virus ist, sondern ein abgemahnter. Was ist denn ein abgemahnter Virus, na ja, eben ein Virus der nicht sein darf. Entgegen der Aussage der Rechtsanwälte, daß dies kein Virus sei, verschrottet dieser 'Un-Virus' trotzdem Dateien (und erfüllt damit ganz nebenbei einen Straftatbestand laut StGB). Die logische Schlußfolgerung der Rechtsanwälte kann hier also nur sein, daß sich der Computer strafbar macht, wenn er mit diesem Programm etwas tut, was er laut Aussage der Rechtsanwälte gar nicht machen dürfte.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Cascade

Kurzinformationen

Alias: 	Black Jack, 1701, 1704, Falling Letters, Falling Leaves, Herbstlaub

Art:	Residenter .COM Infektor (eine Version auch .EXE)

Länge:	meist 1701 Bytes oder 1704 Bytes

Allgemeine Beschreibung:

Cascade oder Black Jack (der Name kommt von seiner Länge in Anlehnung an das Kartenspiel 17 und 4) ist eine sogenannte Zeitbombe, da er erst ab einem bestimmten Zeitpunkt aktiv wird (lediglich die Infektion anderer Dateien findet auch vor diesem Auslösedatum statt). Als Auslösedatum von Black Jack kann man bestenfalls den sehr ungenauen Termin 'Herbst eines jeden Jahres' angeben, da es mittlerweile eine große Anzahl von Varianten und Abkömmlingen gibt, die ihrerseits andere Auslösedaten tragen können. Black Jack stört nach seiner Aktivierung die Bildschirmausgabe - Buchstaben 'fallen vom Bildschirm' (daher auch der Name 'Herbstvirus' oder 'Falling Letters/Falling Leaves'). Diese Effekte treten allerdings erst nach längerer Zeit auf, womit seitens des Virus bezweckt wird, daß der Anwender keinen Verdacht schöpft und die Störungen auf einen Systemfehler zurückführt.

Eine weitere Besonderheit von Black Jack ist die Tatsache, daß eine Version keine originalen IBM-Systeme befällt (auch Computer, die über ein IBM ROM-BIOS verfügen, werden verschont). Darüber hinaus befällt eine neue Art auch .EXE Dateien. Befallene Dateien werden um 1704 Bytes (+/- ein paar Bytes für die Varianten) vergrößert.

Der Virus selbst ist intern verschlüsselt und decodiert sich zur Laufzeit erst einmal selbst. Wie auch der Israel Virus überwacht er das Laden von Programmen und läßt sich die Dateinamen zu infizierender Dateien 'frei Haus' liefern. Über die Unterfunktion 0FFh des INT 21h prüft der Virus nach, ob er selbst nicht schon aktiv im System vorhanden ist.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Casper

Kurzinformationen

Art:	nicht speicherresidenter .COM-Infektor

Länge:	1200 Bytes

Allgemeine Beschreibung:

Der  Virus enthält in verschlüsselter Form den Text:

"Hi! I'm Casper the Virus; And On April The 1'st

I'm Gonna Fuck Up Your Hard REAL BAD!

In Fact It Might Just Be Impossible To Recover!

How's That Grab Ya! <Grin>".

Wird am 1. April ein infiziertes Programm aufgerufen, formatiert der Virus die Spur 0 der Diskette im Laufwerk A:.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Christmas

Kurzinformationen

Alias:	Syslock

Art:	Nicht residenter .COM und .EXE Infektor.

Länge:	2764 Bytes

Ähnlichkeiten: 	Cookie, Macho

Allgemeine Beschreibung:

Der Virus kann, wie seine genannten Verwandten, durch eine Environmentvariable namens 'VIRUS' gesteuert werden. Steht im Environment 'VIRUS=OFF' so wird der Virus nicht aktiv. Zu der Melodie von 'Oh Tannenbaum' werden während der Adventszeit eines jeden Jahres Kerzen und 'Merry Christmas' auf dem Bildschirm dargestellt. Für jeden der Adventssonntage brennt eine Kerze. Es werden nur Dateien im aktuellen Unterverzeichnis befallen. Der Virus ist variabel verschlüsselt.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


CMOS-One (Bootsektorvirus)

Kurzinformationen

Alias:	Häufig als ExeBug (A) fehlerkannt

Allgemeine Beschreibung:

Der Virus belegt im Speicher 1024 Bytes und verbiegt den Interrupt 13h auf eine eigene Routine. Er verwendet eine Tarnkappenfunktion, um sich vor Erkennung zu schützen.

Seine Schadensroutine löscht den CMOS-Eintrag des ersten Diskettenlaufwerkes, das Laufwerk A: gilt dann als nicht installiert. Werden Daten auf Diskette oder Platte geschrieben, prüft der Virus, ob der erste Sektor mit dem Buchstaben 'M' beginnt. Trifft dies und noch eine weitere Prüfung zu, kopiert der Virus eine von zwei möglichen Routinen an den Anfang des Sektors und überschreibt dadurch dessen originalen Inhalt. Die so veränderten EXE-Dateien beginnen zumeist mit den Buchstaben 'MZ'!

Wurde bei dieser Manipulation eine EXE-Datei erwischt, so wird diese nun von DOS als COM-Datei behandelt, da die Signatur am Dateianfang nicht mehr 'MZ' lautet. Ist die betroffene Datei größer als 65280 Bytes, kann sie nicht mehr gestartet werden. Ist die Datei jedoch kleiner, wird die vom Virus eingetragene Schadensroutine ausgeführt.

Die eine Routine ist vergleichsweise harmlos, da durch einen Fehler darin das Programm sofort beendet wird. Die zweite mögliche Routine überschreibt große Teile der ersten Festplatte beginnend mit Cylinder 0. Sollte dieser Fall eintreten, muß die Festplatte neu formatiert werden. Nicht gesicherte Daten sind verloren!

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Cookie

Kurzinformationen

Alias:	Syslock

Art:	Nicht residenter .COM und .EXE Infektor

Länge:	2232 Bytes

Ähnlichkeiten: 	Christmas, Macho

Allgemeine Beschreibung:

Dieser Virus wird seit 1988 am 1. April eines jeden Jahres aktiv. Es erscheint folgende Meldung am Bildschirm:

'I want a COOKIE !'

Diese Nachricht liegt in verschlüsselter Form im Virus vor. Anschließend wird meistens die Festplatte Low Level formatiert. Gibt man daraufhin 'COOKIE' ein, 'rülpst' der Virus:

'BURPS'

Der Virus kann durch eine Environmentvariable namens 'VIRUS' gesteuert werden. Steht im Environment 'VIRUS=OFF' so wird der Virus nicht aktiv. Diese Nachricht liegt in verschlüsselter Form im Virus vor. Anschließend wird meistens die Festplatte Low-Level formatiert. Eine Variante verhält sich vom 1. April an ganz still, d.h. es werden keine Infektionsversuche ausgeführt etc.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Crazy Eddie

Kurzinformationen

Art:	Residenter .COM und .EXE-Infektor

Länge:	2727 Bytes

Allgemeine Beschreibung:

Stürzt auf vielen Rechnersystemen ab, da stark von der Version des Betriebsystemes abhängig. Crazy Eddie infiziert COM- und EXE-Dateien bei deren Ausführung, aber auch beim DIR-Befehl. Er überschreibt an jedem Montag den 28. und am 28. Juni die Festplatte.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


CSFR 1000

Kurzinformationen

Länge:	1000 Bytes

Art:	residenter .COM-Infektor

Allgemeine Beschreibung:

Dieser Virus infiziert alle .COM-Dateien, die ausgeführt oder kopiert werden. Er installiert sich im oberen von DOS genutzten Speicherbereich. Dort wird der vom Virus belegte Speicher als nicht benutzt markiert. Dadurch können größere Programme oder Programme, die den gesamten verfügbaren Speicher anfordern, den Virus überschreiben. Eines dieser Programme ist AntiVir - das heißt, AntiVir löst nur dadurch, daß es geladen wird, sofort einen Systemabsturz aus.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Datacrime

Kurzinformationen

Alias:	Columbus Day

Art:	Nicht residenter .COM (einige Varianten auch .EXE) Infektor

Länge:	1168, 1514, 2280 Bytes

Allgemeine Beschreibung:

Der Virus hängt sich zumeist hinten an eine Datei an. Er infiziert in der Regel alle .COM Dateien, die in ihrem siebten Buchstaben kein 'D' haben. Wird der Virus aktiviert, erscheint zwischen dem 12. Oktober und dem 31. Dezember jeden Jahres folgende Meldung am Bildschirm:

DATACRIME VIRUS

RELEASED: 1 MARCH 1989

Befällt der Datacrime II eine .EXE-Datei, überschreibt er die im EXE-Header gespeicherten Werte für SS und SP. War die infizierte Datei kleiner als 60 KByte, so sollten keine Laufzeitprobleme auftreten größere könnten unkontrolliert abstürzen. AntiVir benennt derart geschädigte Dateien um. Sollten Sie zu den Unerschrockenen gehören und die Dateien wieder in *.EXE umbenennen um deren Verhalten auszuprobieren ... ?!?

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


dBase

Kurzinformationen

Art:	Residenter .COM und Overlay Infektor

Länge:	1864 Bytes

Allgemeine Beschreibung:

Ist dieser Virus resident installiert, verändert er die Daten von dBase-kompatiblen Datenbanken. In der nicht sichtbaren Datei BUGS.DAT legt der Virus die Namen derjenigen Datenbanken ab, deren Inhalte er modifiziert hat. Beim Schreiben von Daten in eine .DBF-Datei werden benachbarte Bytes ausgetauscht, beim Lesen der Daten wird diese 'Verschlüsselung' wieder rückgängig gemacht. Dieses Spielchen geht für zwei Monate gut, danach überschreibt der Virus die FATs und das Rootdirectory. Im Virus selbst ist der Name der Datei in Klarschrift abgelegt: 'c:\bugs.dat'. Über INT 21h, Unterfunktion 0FB0Ah sieht der Virus nach, ob er nicht schon resident installiert ist.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Devils Dance

Kurzinformationen

Art:	COM-Infektor

Länge:	941 Bytes

Allgemeine Beschreibung:

Nach etwa 5000 Tastenanschlägen überschreibt der Virus die erste FAT. Nach einem Warmstart mit der finalen Geierkralle <Ctrl-Alt-Del> (<Strg-Alt-Lösch>) erscheint folgende Meldung auf dem Bildschirm:

DID YOU EVER DANCE WITH THE DEVIL IN THE WEAK MOONLIGHT?

PRAY FOR YOUR DISKS!!

The Joker

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Diamond

Kurzinformationen

Alias:	V1024

Art:	speicherresidenter .COM- und .EXE-Infektor

Länge:	1024 Byte

Allgemeine Beschreibung:

Der Virus zeigt auf einem Farbbildschirm jeweils zur vollen Stunde einen Diamanten, zusammengesetzt aus vier kleineren Diamanten. Kurz darauf beginnen die vier kleinen Diamanten zu wandern. Treffen diese auf ein Zeichen, so wird dieses gelöscht. Nur Files mit einer Mindestlänge von 1024 Byte werden infiziert. Desweiteren setzt der Virus die Sekunden der Dateierstellungszeit auf den Wert von 60 Sekunden.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Disk Killer (Bootsektorvirus)

Kurzinformationen

Alias:	Ogre

Allgemeine Beschreibung:

Disk Killer infiziert den Bootsektor und lädt sich selbst mit etwa zwischen 3KB bis 8KB unter die Oberkante des Hauptspeichers. Er patcht den Bootsektor wie seine Artgenossen derart, daß seine Routinen zuerst ausgeführt werden. Diese Routine sitzt in drei Clustern auf dem Datenträger. Während einer Infektion versucht der Virus die drei belegten Cluster in der FAT als 'schlecht' zu markieren. Bei manchen Varianten klappt das Markieren dieser Sektoren als 'schlechte Sektoren' in der FAT nicht, so daß zum Überschreiben einiger Daten auch noch falsche schlechte, nämlich falsch markierte Sektoren dazukommen. Je nach Ausführung des Virus werden nach etwa 48 Stunden entweder die Festplatte formatiert oder die Datensektoren einer Festplatte abwechselnd mit den Werten 0AAAAh und 05555h verschlüsselt (für Techies: geXORt). Vorher gibt der Virus allerdings noch eine Meldung aus:

Disk Killer -- Version 1.00 by COMPUTER OGRE 04/01/89

Der Virus kann im Bootsektor in der Regel durch die Kennung 03CCBh an Offset 03Eh erkannt werden.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Eddie

Kurzinformationen

Alias:	Dark Avenger

Art: 	Residenter .COM und .EXE Infektor

Länge: 	1800 (+16) Bytes

Allgemeine Beschreibung:

Dark Avenger alias Eddie ist ein sehr ansteckender Virus. Der Virus infiziert auch beim reinen Lesen einer Datei, es reicht schon ein XCOPY oder COPY sowohl bei der Original- als auch bei der Zieldatei. Im Bootsektor führt der Virus einen Zähler, mit 16 initialisiert, im Countdown-Verfahren mit. Nach jedem 16. Bootvorgang überschreibt der Virus einen zufällig gewählten Sektor mit dem Bootsektor des jeweiligen Datenträgers.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


ExploreZip

Kurzinformationen

Virusname:	W32/ExploreZip

Alias:	Worm.Explore.Zip, Zipped Files, Troj.Explore.Zip

Viren Typ:	Trojanisches Pferd, Wurm

Dateigröße:	210.432 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Datum:	11.06.1999

Schaden:	high!

Verbreitung:	medium

Allgemeine Beschreibung:

W32/ExploreZip verbreitet sich über E-Mail auf Windows 9x- und Windows NT-Rechnersystemen. Als E-Mailprogramm kommt jeder MAPI-fähige E-Mail-Client in Betracht. Hierzu gehören unter anderem:

MS Outlook
NetScape Mail
MS Exchange
Outlook Express

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Faust

Kurzinformationen

Alias:	Spyer

Art:	Residenter .COM und .EXE-Infektor

Länge:	1181 Bytes

Allgemeine Beschreibung:

Belegt im Hauptspeicher etwa 1,7 KB. Faust alias Spyder infiziert jedes neu geladene Programm und läßt anschließend das Rechnersystem abstürzen.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Fiche

Kurzinformationen

Alias:	FEXE

Art: 	speicherresidenter .EXE-Infektor

Länge: 	897 Bytes

Allgemeine Beschreibung:

Dateien werden beim Öffnen und Schließen infiziert. Eine Version des Virus überschreibt die ersten sechs Sektoren der ersten Festplatte mit dem Text:

"FEXE 1.0 vous a eu".

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Fish

Kurzinformationen

Art: 	Residenter .COM und .EXE-Infektor

Länge: 	3584 Bytes

Ähnlichkeiten: 	Whale

Allgemeine Beschreibung:

Belegt zwischen 4 KB und 8 KB im Hauptspeicher und infiziert alle Dateien beim reinen Öffnen. CHKDSK /F bei aktivem Virus führt zu Lost Clusters.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Flash

Kurzinformationen

Art:	Residenter COM- und EXE-Infektor

Länge:	688 Bytes

Allgemeine Beschreibung:

Flash installiert sich resident im obersten Speicherbereich und markiert diesen Bereich als nicht vorhanden, damit er selbst nicht überschrieben wird. Wird ein Programm ausgeführt, hängt sich der Virus an diese Datei hintendran. Auf einem infizierten System wird der Virus ab dem Jahr 1990 aktiv. Es tritt alle paar Minuten ein Flackern des Bildschirms auf, das durch Manipulation der Register der Videokarte ausgelöst wird.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Flip

Kurzinformationen

Alias: 	Omicron

Ähnlichkeiten: 	Tequila

Allgemeine Beschreibung:

Überschreibt die  Laderoutine des Masterbootsektors (Partitionssektor) mit seiner eigenen Laderoutine. Der richtige Masterbootsektor wird an anderer Stelle auf der Festplatte gesichert.

Durch weitere Manipulationen verringert sich die Kapazität der 1. logischen Festplatte um 6 Sektoren (3 KByte). Im Speicher nistet sich Flip an der Oberkante DOS ein. Infiziert werden Programme und Overlaydateien. Die Erstellungszeit einer infizierten Datei weist im Sekundenfeld die Zahl 62 auf. Ist die erste zu ladende Datei nach dem Bootvorgang COMMAND.COM, wird diese derart verändert, daß bei dem Befehl DIR die scheinbar korrekte Dateigröße angezeigt wird. Abgesehen von der Infektion wird Flip zwischen 16.00 und 17.00 Uhr aktiv. Bei EGA- und VGA-Videoadaptern wird der Bildschirm zeitweilig horizontal gespiegelt (daher Flip).

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Form (Bootsektorvirus)

Dieser Virus ist ein speicherresidenter Bootsektorinfektor und belegt im Hauptspeicher zwei Kilobyte. Er infiziert die Bootsektoren sowohl von Festplatte als auch von Disketten und belegt zwei Sektoren. Auf Disketten wird der originale Bootsektor verschoben und in einem als "bad" markierten Bereich abgelegt. Verändert werden die Interruptvektoren 13h auf Offset 0346h und 09h auf Offset 035dh.

Folgender Text ist im Bootsektor zu lesen, wird aber nicht am Bildschirm angezeigt:

The FORM-Virus sends greetings to everyone who's

reading this text. FORM doesn't destroy data!

Don't panic! Fuckings go to Corinne.

In der Regel sind am 18. eines Monats durch einen nur an diesem Tag installierten Tastatur-Handler "Klicks" durch den Lautsprecher zu hören. Hierdurch kann auch die Annahme von Tastenbetätigungen verzögert werden. Der Virus hat bis auf die Programmierfehler keine offensichtliche Schadensfunktion - lediglich auf der Festplatte werden die letzten beiden Sektoren überschrieben, was bei Unformat-Operationen zu "Verwirrungen" des Unformat-Programmes führen kann.

Gegenüber "normalen" Bootsektorviren infiziert der Form-Virus auf Festplatten nicht wie üblich den Master-Bootsektor, sondern den Bootsektor. Auch dieser Virus kann nur durch den Start von einem infizierten Datenträger in das System gelangen - auch der Start von einer infizierten Datendiskette gehört dazu.

Nach dem Systemstart von einer infizierten Diskette vermindert der Virus den zur Verfügung stehenden unteren Hauptspeicherbereich (0-640 KB) um zwei Kilobyte und korrigiert die Angabe des konventionellen Hauptspeichers. In den auf diese Art "belegten" Speicher kopiert sich der Virus hinein. Dies war allerdings nur die halbe Miete, denn der momentan geladene Sektor besteht nur aus 512 Bytes, der Virus selbst ist aber größer. Also wird der Rest "nachgeladen", die Einsprungsadressen (Segmentadresse und Offsetadresse) in diesen "belegten" Speicherbereich hinein auf den Stack gelegt und das Ganze mit einem Ret Far angesprungen. Der Virus wird nun in diesem oben "belegten" Speicherbereich ausgeführt und ist durch die Korrektur der konventionellen Hauptspeichergröße vor Überschreiben sicher.

Anschließend wird vom verseuchten Datenträger der saubere, wegkopierte Bootsektor an seine ursprüngliche Position im Hauptspeicher während eines Startvorganges eingelesen. Danach ermittelt der Virus die Partitionsparameter einer Festplatte: Der Master-Bootsektor des Laufwerkes 80h wird gelesen und die Partitionstabelle nach der ersten, als aktiv markierten Partition durchsucht. Der Virus speichert sich die physikalische Position des Bootsektors der als aktiv markierten Partition und liest diesen Bootsektor ein. Falls er nicht infiziert ist, wird er in den letzten Sektor der Festplatte geschrieben - dort stehende Daten werden überschrieben. Der zweite Sektor des Viruscodes wird im vorletzten Sektor gespeichert - auch hier werden bereits vorhandene Daten überschrieben.

Im ersten Sektor des residenten Virus werden die für den BPB (BIOS-Paramater Block) relevanten Bereiche innerhalb des Virus auf die Werte des zu infizierenden Bootsektors angepaßt. Dieser Sektor wird dann als neuer Bootsektor an die zuvor abgespeicherte physikalische Stelle des originalen Bootsektors geschrieben. Nach der Infektion einer Festplatte und Umbiegen des Interruptvektors 13h wird das aktuelle Tagesdatum auf "18" getestet. Stimmt das Datum überein, wird auch der Tastaturinterrupt verbogen. Der originale Bootsektor der Diskette oder Festplatte steht schon an der richtigen Stelle im Hauptspeicher und übergibt dem Virus diesen Programmcode zur Ausführung des weiteren Systemstarts die Kontrolle.

Der viruseigene Interrupt 13h-Handler beschäftigt sich fortan nur noch mit dem Infizieren von Disketten. Er wird nur bei Lesezugriffen auf Track 0 aktiv, wenn er beim Einlesen eines Bootsektors einen nicht infizierten Bootsektor feststellt. Ist die Diskette nicht infiziert, berechnet der Virus den Start des Datenbereiches einer zu infizierenden Diskette. In diesem Bereich sucht er den ersten unbenutzten Cluster und markiert zwei Sektoren in der FAT als defekt. In den ersten Sektor schreibt er den sauberen, originalen Bootsektor, in den zweiten Sektor den zweiten Teil seines eigenen Codes. Nach einer Anpassung der diskettenrelevanten Teile im Virus selbst wird der Bootsektor der Diskette infiziert.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Friday

Kurzinformationen

Alias:	South African, Miami, Munich

Art:	Nicht residenter .COM Infektor

Länge: 	416, 540 Bytes

Allgemeine Beschreibung:

In der Regel infiziert dieser Virus alle noch nicht infizierten Dateien im angemeldeten Verzeichnis, obwohl Abarten hiervon auch solche '.COM' Dateien infizieren, die sich im Pfad des Systems befinden. Mache Abarten infizieren aber auch nur zwei zusätzliche Dateien. Am Freitag den 13. löscht eine Abart ein aufgerufenes Programm, während eine andere Abart folgende Nachricht auf den Bildschirm bringt:

We hope, we haven't inconvenienced you

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


FSP Killer

Kurzinformationen

Art:	Residenter .COM und .EXE Infektor

Länge:	789 Bytes

Allgemeine Beschreibung:

Dieser Virus scheint gezielt im Codesegment des letzten geladenen INT 21h Vektors herumzuarbeiten. Dieser Virus wird zur Zeit analysiert. Erste Ergebnisse sind, daß der Virus 66.288 Bytes im residenten Zustand belegt. Über INT 21h, Unterfunktion 0A1D5h, prüft der Virus, ob er nicht schon resident im System ist. Er erwartet im AX Register den Hexwert 900Dh zurück. Ist der Virus resident, so modifiziert er einmal die Attribute zweier Dateien, indem das Hidden-Attribut dieser Dateien eingestellt wird.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Fu Manchu

Kurzinformationen

Art:	Residenter .COM und .EXE Infektor

Länge: 	2080 Bytes

Ähnlichkeiten: 	Israel

Allgemeine Beschreibung:

Über die Unterfunktion 0E1h des INT 21h sieht der Virus nach, ob er schon resident im System vorhanden ist. Wenn nicht, fügt er sich bei .COM Dateien an den Anfang, bei .EXE Dateien an das Ende an. Die Checksumme im '.EXE-Header' einer infizierten Datei enthält den Hex-Wert 1988H (ähnlich dem Israel Virus, von dem Fu Manchu abstammt). Gegen Ende des eigentlichen Virusteiles wird meistens der folgende Text ausfindig gemacht:

sAXrEMHOr

COMMAND.COM

Der Virus infiziert alle ausführbaren Programme und installiert sich unter Umgehung des Betriebsystemes resident, indem die MCBs direkt manipuliert werden. Je nach Version erscheint nach einem Warmstart oder der 16. erfolgreichen Infektion folgende Meldung:

The world will hear from me again!!

Außerdem überwacht der Virus alle Tastatureingaben und reagiert auf die Namen bestimmter Politiker (Waldheim, Thatcher) mit eher rauhen Kommentaren.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Ghost

Kurzinformationen

Alias: 	Ghost Ball, Ghostballs

Art: 	Nicht residenter .COM Infektor

Länge:	2351 Bytes

Allgemeine Beschreibung:

Infizierte Dateien haben eine '62' im Sekundenfeld des Directoryeintrages und jede 8. infizierte Datei wird zumeist überschrieben. Der Virus versucht, einen Ping Pong ähnlichen Bootsektorvirus zu installieren, der aber nicht reproduzieren kann. Nachdem ein Bootsektor infiziert wurde, erscheint ein 'hüpfender' Ball auf dem Bildschirm. Folgender Klartext kann im Virus gefunden werden:

GhostBalls, Product of Iceland

CopyRight 1989, 4418 and 5F19

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Hafenstraße

Kurzinformationen

Art:	nicht speicherresidenter EXE-Infektor

Länge:	809 Bytes

Allgemeine Beschreibung:

Bei jedem Aufruf eines infizierten Programms erstellt der Virus im aktuellen Verzeichnis eine unsichtbare Datei. Diese Datei enthält den Text:

Hafenstraße

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Hallöchen

Kurzinformationen

Alias: 	Halloechen, Hello

Art: 	Residenter .COM und .EXE Infektor

Länge: 	2011 Bytes

Allgemeine Beschreibung:

Der Virus installiert sich durch direkte Manipulation der MCB-Chains im Rechnersystem resident, ohne das Betriebssystem mit seinem INT 21h in Anspruch zu nehmen. Mit den MCBs (Memory Control Blocks) verwaltet das Betriebssystem einzelne Speicherbereiche aus dem normalerweise 640KB großen Pool. Ein Rechnersystem wird verlangsamt, wenn eine infizierte Datei aufgerufen wird. Es werden nur solche Dateien befallen, deren Monats- und Jahresangabe im Dateidatum sich vom aktuellen Systemdatum unterscheidet. Zwei Zeichenketten erlauben die Identifizierung des Virus innerhalb einer Datei:

Hallöchen, here I'm

Acrivate Level I

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


HONNECKER Trojan (Trojanisches Pferd)

Der Honnecker-Trojan, auch DOSINFO Trojan genannt, ist im eigentlichen Sinne gar kein echter Virus, eher ein Trojanisches Pferd. Honnecker-Trojan verbreitet sich, in dem er Batchfiles dahingehend modifiziert, das er möglichst oft aufgerufen wird. An bestimmten Tagen, spielt HONECKER dann die Nationalhymne der DDR und bringt eine nette Grafik auf den Schirm. Ansonsten ist HONECKER nicht weiter schädlich.

1.5.   -  Tag der Arbeit

17.6   -  Aufstand vom 17. Juni

13.8.  -  Tag des Mauerbaues

3.10.  -  Tag der dt. Einheit

7.10.  -  Tag der Republik (Nationalfeiertag der DDR)

9.11.  -  Grenzöffnung

25.12  -  eigentlich kein soz. Feiertag

Das Wirtsprogramm DOSINFO.EXE kopiert sich bei jedem Aufruf in einige Verzeichnisse, in denen auch Batchdateien liegen. Diese Batchdateien erhalten außerdem als ersten Aufruf den Call von DOSINFO, um zu gewährleisten, daß das Programm auch gestartet wird.

Werden alle DOSINFO.EXE-Dateien gelöscht und alle Aufrufe auf diese Dateien aus den Batchdateien entfernt, ist der "Virus" ebenfalls entfernt.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Icelandic

Kurzinformationen

Alias:	Disk Eating, One In Ten, Disk Crunching, Saratoga 2

Art:	Residenter .EXE Infektor

Länge: 	542, 656 Bytes

Ähnlichkeiten: 	MIX

Allgemeine Beschreibung:

In den letzten vier Bytes einer infizierten Datei steht die Hexkombination

44 18 5F 19

Hieran kann der Virus erkannt werden. Der Virus installiert sich unterhalb der Oberkante DOS und reduziert den gemeldeten freien Speicher um 2KB. Jedes zehnte gestartete Programm wird infiziert, sofern der INT 13h noch nicht von einem anderen Programm benutzt wird. In der Regel markiert der Virus einen noch freien Sektor als schlecht, wenn er eine Datei infiziert hat. Das führt zu einer ständigen Abnahme der freien Festplatten- bzw. Diskettenkapazität.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Inhalt

Lesen Sie die folgenden Informationen bitte mit dem Wörtchen 'können' über allen Beschreibungen, denn jeder 08/15-Programmierer hat die Möglichkeit, Schadensroutinen oder Bildschirmausgaben zu verändern. Alle Schädlinge werden ständig geändert und als 'neue' Schädlinge von zweifelhaften Zeitgenossen wieder auf die Menschheit losgelassen.

Nähere Informationen zu Malware sowie unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.

1008 Virus

1253

1260

12-Ticks (Trojanisches Pferd)

405

4096

8 Tunes

903

AIDS Information Introductory Disk 2.0 (Trojanisches Pferd)

Akuku

Alabama

Amilia

Amoeba

Angelina (Bootsektorvirus)

Anthrax

AntiExe (Bootsektorvirus)

April

Azusa (Bootsektorvirus)

Barrotes

Basic

BDS/Surila.i

Bestwish

Black Jack

Brain Boot (Bootsektorvirus)

Breasts (Bootsektorvirus)

Burger Virus

Cascade

Casper

Christmas

CMOS-One (Bootsektorvirus)

Cookie

Crazy Eddie

CSFR 1000

Datacrime

dBase

Devils Dance

Diamond

Disk Killer (Bootsektorvirus)

Eddie

ExploreZip

Faust

Fiche

Fish

Flash

Flip

Form (Bootsektorvirus)

Friday

FSP Killer

Fu Manchu

Ghost

Hafenstraße

Hallöchen

HONNECKER Trojan (Trojanisches Pferd)

Icelandic

Israel

Itavir

IWorm.BleBla

Jack Ripper (Bootsektorvirus)

Jerusalem

Joshi (Bootsektorvirus)

Junkie

Kennedy

Keypress

Kiev (Bootsektorvirus)

KIT/JPEGexploit.A

Kit/VBSWormGen.150

Lehigh

Liberty

Lisbon

Macho

Michelangelo (Bootsektorvirus)

MIX

Mummy

Murphy

Music Bug (Bootsektorvirus)

MVF

Natas

Navidad

Neuroquila

Neuroquila.N8FALL.A

Neuroquila.N8FALL.B

Neuroquila.N8FALL.Companion

No Bock

O97M/Cybernet.A

Ohio (Bootsektorvirus)

Omega

One Half

Oropax

Parity (Bootsektorvirus)

PDF/Peach

Perfume

Ping Pong (Bootsektorvirus)

Plastique

RedX

Sampo (Bootsektorvirus)

Silly Willy

Solano

SONIC

Stimulation

Stoned (Bootsektorvirus)

SubSeven Version 2.13

Sunday Virus

Sylvia

Tai Pan

Taiwan

Tenbytes

Tequila

TR.Sub7 Version 1.0-2.2

TR/Bagle.AK

TR/Bagle.AL

TR/Spy.Bizex.H

Traceback

Tremor

Tumen 0.5

Typo COM

V163

Vacsina

VBS.Elva

VBS.Fireburn

VBS.Guorm

VBS.HappyTime

VBS.LiveStages.A

VBS.LoveLetter

VBS.LoveLetter.BD

VBS.LoveLetter.CM

VBS.NEWLOVE

VBS/Caroline.B

VBS/HomePage.1

VBS/Lee-ATX

VBS/NeueTarife

VBS/SST.A

VBS/Staple.A

VBS/Vierika

VGen

Victor

Vienna

Vriest

W32.Kriz

W32.TR.Worm/QAZ

W32.Vote

W32/Apost.A

W32/ExploreZip

W32/FBound.C

W32/Klez

W32/Naked

W32/Nimda

W32/Perrum

W32/ProLin@mm

W32/Yaha.E

W32/YAWsetup

W95.Hybris

W95/Begemont.B

W95/CIH

W95/MTX

W97M/Resume.A

Whale

Wiener

WinWord.Concept

WitCode

Worm/Anacon

Worm/Anset.B

Worm/Aphex

Worm/Avril.A

Worm/Avril.B

Worm/Badtrans

Worm/Badtrans.B

Worm/Bagle.A

Worm/Bagle.AA

Worm/Bagle.AM

Worm/Bagle.AN

Worm/Bagle.AT

Worm/Bagle.B

Worm/Bagle.C

Worm/Bagle.F

Worm/Bagle.H

Worm/Bagle.J

Worm/Bagle.U

Worm/Bagz.A

Worm/Bagz.B

Worm/Bizex

Worm/Bride.A

Worm/Bride.C

Worm/Brit.B

Worm/Brit.F

Worm/BugBear

Worm/Bugbear.B

Worm/Calil

Worm/Cervivec

Worm/Chet

Worm/CodeRed

Worm/Cuervo

Worm/Cult.B

Worm/Cydog.C

Worm/DeadHat.A

Worm/Deloder

Worm/Doomjuice

Worm/Dumaru.A

Worm/Dumaru.AC

Worm/Dumaru.Y

Worm/ExploreZip.E

Worm/Fizzu.A

Worm/Frethem

Worm/Frethem.J

Worm/Frethem.l

Worm/FriendGreet

Worm/Ganda

Worm/Gibe.B

Worm/Gibe.C

Worm/Gnutella.MG

Worm/Goner

Worm/Holar.C

Worm/Kazaa

Worm/Klez.E

Worm/Korgo.M

Worm/Korgo.N

Worm/Korgo.Q

Worm/Lee.SP

Worm/Lovegate

Worm/Lovgate.J

Worm/Lovsan.A

Worm/Lovsan.B

Worm/Lovsan.C

Worm/Lovsan.E

Worm/Magold.E

Worm/Maldal.C

Worm/Maldal.I

Worm/Matcher

Worm/Mexer.E

Worm/Mimail.C

Worm/Mimail.E

Worm/Mimail.I

Worm/Mimail.L

Worm/Mimail.q

Worm/MSN.Funner

Worm/Myba.A

Worm/MyDoom

Worm/MyDoom.B

Worm/MyDoom.F

Worm/MyDoom.G

Worm/MyDoom.T

Worm/MyDoom.U

Worm/Mylife.M

Worm/Naco.D

Worm/Nedal

Worm/Netsky.AA

Worm/NetSky.AD

Worm/NetSky.B

Worm/NetSky.C

Worm/NetSky.D

Worm/NetSky.E

Worm/NetSky.J

Worm/NetSky.K

Worm/NetSky.Y

Worm/NiceHello

Worm/OpaSoft

Worm/Padobot.A

Worm/Paukor

Worm/Pikachu

Worm/Rbot.LE

Worm/Reniets.A

Worm/Sasser.A

Worm/Sasser.G

Worm/Scold.A

Worm/Sober

Worm/Sober.B

Worm/Sober.C

Worm/Sober.D

Worm/Sobig.A

Worm/Sobig.B

Worm/Sobig.C

Worm/Sobig.D

Worm/Sobig.E

Worm/Sobig.F

Worm/Symbi.Cabir.A

Worm/Tanked.A

Worm/Tettona

Worm/W32.Sircam

Worm/Yaha.M

Worm/Yaha.P

Worm/Zafi.B

WScr.Kak.Worm

Yankee Doodle

Zero Bug


Israel

Kurzinformationen

Alias:	Jerusalem, PLO, Freitag der 13.

Art:	Residenter .COM und .EXE Infektor

Länge:	1803, 1808, 1813 Bytes

Allgemeine Beschreibung:

Dies ist zur Zeit einer der verbreitetsten Viren. Er vergrößert befallene Dateien um 1803 bzw. 1813 Bytes, bei Abarten dieses Virus sind auch andere Werte möglich. Verhält sich bis zu jedem Freitag den 13. relativ still. Je nach Abart des Virus werden an einem solchen "Glückstag" entweder Dateien gelöscht oder die Festplatte formatiert. In der Regel wird COMMAND.COM nicht infiziert aber etwa 30 Minuten nach der Erstinfizierung eines Systems verlangsamt der Virus das Rechnersystem.

Der Virus fängt den INT 21h, Unterfunktion 04Bh, ab, über den das Betriebssystem neue Programme startet, und bekommt so die zu infizierenden Dateinamen 'frei Haus' geliefert. '.COM' Dateien werden nur einmal infiziert, '.EXE' Dateien mehrfach.  Durch diesen Programmfehler verrät sich der Virus eigentlich am schnellsten, da ganz normale Programme oft plötzlich nicht mehr geladen werden können. Dieser Fehler wurde in neueren Versionen behoben.

Über den Timer Interrupt hängt sich der Virus in die systeminterne Uhr ein. Viele Varianten des Israel erzeugen etwa eine halbe Stunde nach Infektion des Rechnersystems ein 'schwarzes Loch' auf der linken Seite des Bildschirmes. Unter anderem zum Zweck der Selbsterkennung definieren die Israelviren eine neue Funktion zum INT 21h (meist Funktion 0E0H). Über diese Funktion 0E0H schaut der Virus nach, ob er selbst schon resident installiert ist. Trotzdem muß AntiVir bei einigen Israelinfektionen "die Waffen strecken", da eine Reparatur eines infizierten Programmes mitunter wegen eines Programmfehlers im Virus nicht mehr möglich ist. Der Virus wechselt bei bestimmten Originalprogrammgrößen durch besagten Fehler von einer 'anhängenden' Arbeitsweise in eine 'überschreibende'. Dabei zerstört sich der Virus oft teilweise auch selbst. Dies bedeutet, daß AntiVir in diesem Fall zwar den Virus vielleicht noch entfernen, überschriebene Bereiche aber aus offensichtlichen Gründen nicht mehr restaurieren kann. Das infizierte Programm ist also bereits vor einer eventuellen Reparatur nicht mehr lauffähig. AntiVir gibt eine entsprechende Meldung aus und bietet an, die befallene Datei gleich zu löschen, um eine weitere Verbreitung des Virus (oder einen unkontrollierten Programmabsturz der infizierten Datei!) zu verhindern.

Falls man sich nicht dazu entschließen kann, diese Datei zu löschen oder anderweitig zu eliminieren, dann läßt man eventuell einen Virus auf seinem Rechnersystem. Viel schlimmer aber ist, daß dieser Virus durch seinen eigenen Fehler eventuell nicht mehr vollständig sein kann, und somit auch unkontrolliert in andere Bereiche hineinschreiben kann, wenn das Programm aufgerufen wird. Also ist es besser, das Programm doch zu löschen und das Programm von den Originaldisketten neu zu installieren.

Der Israel Virus läßt sich unter anderem leicht daran erkennen, daß er in vielen Versionen den String 'MsDos' enthält und darüber hinaus die Prüfsumme in EXE-Dateien auf den Wert 1984h setzt.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Itavir

Kurzinformationen

Art: 	Residenter .EXE Infektor

Länge: 	3880 Bytes

Allgemeine Beschreibung:

Infiziert neben .EXE- auch Windows- und OS/2-Dateien. Itavir überschreibt nach 24 Stunden Systemaktivität den Bootsektor.

Dieser Virus verlängert manchmal aber nur Dateien, ohne den Virus bei einem Programmstart aktivieren zu können. Die Reparaturfunktion von AntiVir kann diese Verlängerungen nur im /GURU-Modus entdecken.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


IWorm.BleBla

Kurzinformationen

Virusname:	IWorm.BleBla

Alias:	W32/BleBla.a@MM

Viren Typ:	Wurm

Dateigröße:	29.184 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	Poland

Datum:	12.12.2000

Schaden:	medium

Verbreitung:	medium

Allgemeine Beschreibung:

Der Virus 'BleBla' (auch Romeo & Julia genannt) ist ein Wurm, der sich über das Internet verbreitet. Er verschickt sich per Email mit zwei Attachments (Dateianhängen). Dieser Wurm erweist sich als besonders gefährlich, da er bereits beim Öffnen bzw. durch die Vorschau der Email aktiviert wird und das System infiziert. Für seine Verbreitung setzt der Wurm voraus, dass Windows im Verzeichnis C:\WINDOWS\ installiert ist.

Der Email sind folgende beiden Dateien als Attachments beigefügt: MYJULIET.CHM und MYROMEO.EXE. Beim Öffnen einer infizierten Email wird von Windows automatisch die Datei MYJULIET.CHM ausgeführt, die aus einer komprimierten HTML-Seite besteht. Das Script in dieser HTML-Seite führt dann die Datei MYROMEO.EXE aus.

Die Datei ROMEO.EXE ist der Programmiersprache Delphi programmiert und ist etwa 30Kbyte groß. Dieses Programm öffnet das Adressbuch von Windows, liest dort Email-Adressen aus und versendet sich an diese weiter. Für den Versand nutzt der Wurm sechs polnische SMTP-Server.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Jack Ripper (Bootsektorvirus)

Kurzinformationen

Alias:	Jack The Ripper

Allgemeine Beschreibung:

Jack Ripper ist ein einfacher Bootsektorvirus, vergleichbar dem Parity-Bootsektorvirus. Je nach Verschlüsselung wird der Virus im Speicher manchmal auch als Parity-Virus erkannt. Der direkte Zugriff auf Boot- bzw. Master-Bootsektoren bei laufendem Virus bringen die originalen, unverseuchten Sektoren zu Tage.

Der Virus belegt im Speicher 2048 Bytes und "verbiegt" den Interruptvektor 13h auf eine eigene Routine. Der zur Verfügung stehende Hauptspeicher wird um diese 2048 Bytes verkleinert angezeigt. Bei einem mit 640KB unterem Hauptspeicher ausgerüsteten Rechnersystem zeigt CHKDSK daher anstelle der 655360 Bytes nur 653312 Bytes Speicher an. Darüber hinaus kann Windows oft nicht im 32Bit-Modus gestartet werden.

Jack Ripper speichert den originalen Bootsektor von Disketten im letzten Sektor des Rootdirectories ab. Sind hier Verzeichniseinträge vorhanden, werden diese überschrieben und dadurch können Datenverluste auftreten. Der Masterbootsektor von Festplatten wird in einem (normalerweise) unbenutzten Bereich "hinterlegt" und läßt sich daher von AntiVir restaurieren.

Jack Ripper infiziert den Master-Bootsektor einer Festplatte, wenn von einer infizierten Diskette (auch Datendiskette) gebootet wurde. Nach dem Start von einer infizierten Festplatte werden nicht schreibgeschützte Diskette durch einen Lesezugriff infiziert, ein einfaches "DIR" reicht hierfür aus!

Der Name des Virus kommt aus verschlüsselten Textteilen im Viruskörper, die Meldung FUCK EM UP! läßt auf die Schadensroutinen des Virus schließen: Der Virus verändert beim Schreiben die zu schreibenden Daten langsam und unmerklich. Mit einer Möglichkeit von 1 zu 1024 Schreibzugriffen auf einen Datenträger wechselt der Virus in dem zu schreibenden Sektor einfach zwei aufeinanderfolgende Doppelbytes aus. Dies führt zu einer schleichenden und nur allmählichen Datenveränderung auf dem jeweiligen Datenträger. Daher sollte bei Auftreten dieses Virus immer der gesamte Datenbestand auf Konsistenz geprüft werden.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Jerusalem

Kurzinformationen

Alias: 	Israel, PLO, Freitag der 13.

Art: 	Residenter .COM und .EXE Infektor

Länge: 	1803, 1808, 1813 Bytes

Ähnlichkeiten: 	Anarkia, Mendoza, Frere Jacques

Allgemeine Beschreibung:

Sehr bekannter Virus. Vergrößert befallene Dateien um 1803 bzw. 1813 Bytes, bei Abarten dieses Virus sind auch andere Werte möglich. Verhält sich bis zum Freitag den 13. relativ still. Je nach Abart des Virus werden an einem solchen "Glückstag" entweder Dateien gelöscht oder die Festplatte formatiert. In der Regel wird COMMAND.COM nicht infiziert, aber etwa 30 Minuten nach der Erstinfektion eines Systems verlangsamt der Virus das Rechnersystem.

Der Virus fängt den INT 21h, Unterfunktion 04Bh, ab, über den das Betriebssystem neue Programme startet, und bekommt so die zu infizierenden Dateinamen 'frei Haus' geliefert. .COM Dateien werden nur einmal infiziert, .EXE Dateien mehrfach. Durch diesen Programmfehler verrät sich der Virus eigentlich am schnellsten, da ganz normale Programme oft plötzlich nicht mehr geladen werden können. Dieser Fehler wurde in neueren Versionen behoben.

Über den Timer Interrupt hängt sich der Virus in die systeminterne Uhr ein. Viele Varianten des Jerusalem erzeugen etwa eine halbe Stunde nach Infektion des Rechnersystemes ein 'schwarzes Loch' auf der linken Seite des Bildschirmes. Unter anderem zum Zweck der Selbsterkennung definieren die Jerusalem-Viren eine neue Funktion zum INT 21h (meist Funktion 0E0h). Über diese Funktion 0E0h schaut der Virus nach, ob er selbst schon resident installiert ist.

Den Jerusalem-Virus kann man selbst unter anderem leicht daran erkennen, daß er in vielen Versionen den String 'MsDos' enthält und darüber hinaus die Prüfsumme in EXE-Dateien auf den Wert 1984h setzt.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Joshi (Bootsektorvirus)

Dieser Virus installiert sich resident beim Start des Systems und benötigt neben dem Bootsektor auf Disketten und dem Master-Bootsektor auf der Festplatte etwa acht Sektoren. Joshi ist ein 'Stealth'-Bootsektorvirus und zerstört Daten auf 720 KB-Disketten. Am 5. Januar eines jeden Jahres aktiviert sich der Virus und bringt folgende Meldung auf den Bildschirm:

Type "Happy Birthday Joshi!"

Nach Eingabe des Geburtstagsglückwunsches startet der Rechner weiter durch. Wie auch andere Bootsektorviren kann der Joshi-Virus nur dann eine Festplatte infizieren, wenn von einer verseuchten Diskette gebootet wird. Von einer infizierten Festplatte aus formatiert sich der Virus, wenn er eine Diskette infizieren will, einfach einen neuen Track am Ende der Diskette, um dort den originalen Bootsektor und seinen eigenen Programmcode abzulegen. Der vom Virus erstellte neue Bootsektor an der Stelle des alten enthält alle Meldungen, so daß eine oberflächliche Analyse keinen Virusverdacht aufkommen läßt. Auf einer 360 KB-Diskette liegt der Virus auf Track 40 (wenn von 0 bis 39 gezählt wird) in den ersten fünf Sektoren, auf 1,2 MB-Disketten auf Track 80 (wenn von 0 bis 79 gezählt wird), wiederum in den ersten fünf Sektoren. Bei 720 KB-Disketten werden Daten auf Track 41 zerstört und die Diskette wird unbrauchbar gemacht.

Wird ein infiziertes Rechnersystem gestartet, prüft der Virus nach, ob er schon resident im System verankert ist, da er einen Warmstart überleben kann. Falls nicht, reduziert er den verfügbaren Hauptspeicher um 6 KB, wohin er sich selbst lädt. Nach einer Überprüfung, ob die von ihm verwendeten Interruptvektoren auch auf sich in diesen Bereich zeigen, lädt der Virus den originalen Bootsektor an die Speicherstelle, die dieser originale Bootsektor bei einem normalen Start eingenommen hätte. Diesem Sektor wird dann die Kontrolle übergeben.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Junkie

Kurzinformationen

Art: 	Residenter .COM Infektor

Länge: 	3880 Bytes

Allgemeine Beschreibung:

Der JUNKIE-Virus wurde Ende Mai 1994 durch verschiedene europäische Mailboxen verbreitet. In den meisten Fällen durch das File HV-PSPTC.ZIP. Laut der Beschreibung sollte das Programm ermöglichen, illegale Kopien eines Spieles auf Festplatte zu installieren, doch das Paket enthielt nur das Programm PSPATCH.COM, welches der JUNKIE-Virus war.

JUNKIE stammt aus Schweden und ist ein Multipartite-Virus, er infiziert also Master-Bootsektoren und COM-Dateien. Wird auf einem unverseuchten Rechner zum ersten mal ein infiziertes Programm gestartet, überschreibt der Virus den Master-Bootsektor der Festplatte (sonst macht er nichts). Beim nächsten Virusaufruf wird JUNKIE speicherresident und infiziert alle von da ab gestarteten COM-Programme.

Infizierte COM-Dateien werden um 1035 Bytes vergrößert. Da der Virus nur COM Dateien infizieren kann, zerstört er alle Programme, die zwar eine COM-Extension haben, aber keine echten COM-Dateien sind (mache EXE Programme). Der Virus ist zweifach verschlüsselt und enthält folgenden (ebenfalls verschlüsselten) Text:

Dr White - Sweden 1994

Junkie Virus - Written in Malmo...M01D

Den JUNKIE kann man auch daran erkennen, daß der zu Verfügung stehende Hauptspeicher verringert ist. Manche Programme bringen daher auch eine Fehlermeldung wie beispielsweise "Program too big to fit in memory".

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Kennedy

Kurzinformationen

Art: 	nicht speicherresidenter COM- Infektor

Länge: 	333 Byte

Allgemeine Beschreibung:

Durch den Virus werden die FATs verändert. Dies resultiert in Lost Clusters und Cross Linked-Dateien. Im Virus ist folgender Text zu lesen:

\command.com

The Dead Kennedys

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Keypress

Kurzinformationen

Art: 	Residenter .COM und .EXE-Infektor

Länge: 	1232, 1472 Bytes

Allgemeine Beschreibung:

Etwa eine halbe Stunde nach einer Infektion eines Rechnersystemes "verlängert" der Virus Tastatureingaben meist um das Vierfache. .COM-Dateien werden nur dann infiziert, wenn sie größer als 1232 Bytes sind.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Kiev (Bootsektorvirus)

Der Virus belegt im Speicher 1024 Bytes und verbiegt den Interrupt 13h auf eine eigene Routine. Eine Tarnkappenfunktion ist nicht vorhanden. Wird von einer infizierten Diskette gebootet, prüft der Virus, ob eine eventuell installierte Festplatte bereits infiziert ist und holt dies nach, falls noch nicht geschehen.

Die Interrupt 13h Routine wird bei jedem ersten Zugriff auf ein Diskettenlaufwerk aktiv, läuft der Diskettenmotor bereits, dann unterbleiben weitere Aktionen. Die eingelegte Diskette wird geprüft und infiziert, indem der Virus den originalen Bootsektor auf einen anderen Sektor speichert und seinen Code in den Bootsektor schreibt.

Wird von einer infizierten Festplatte gebootet, dekrementiert der Virus einen Zähler im Master-Bootsektor. Erreicht dieser Zähler den Wert 0, verschlüsselt er einen Teil der Festplatte (die ersten 17 Sektoren der Zylinder 0 bis 4 und von allen Schreib-Leseköpfen). Der Zähler wird vom Virus nicht initialisiert und hat in der Regel den Wert 0, so daß diese Schadensroutine nach dem 256. Bootvorgang ausgelöst wird. Der Virus benötigt einen 80286-Prozessor oder höher.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


KIT/JPEGexploit.A

Kurzinformationen

Virusname:	KIT/JPEGexploit

Viren Typ:	Trojaner

Dateigröße:	7.664 Bytes

Betriebsysteme:	Microsoft Windows 95/98/ME/NT/2000/XP/Server 2003

Datum:	24.09.2004

Schadensroutine:	Construction Kit für JPEG Dateien mit Downloader Funktion.

VDF Version:	6.27.0.72

Schaden:	medium

Verbreitung:	low

Allgemeine Beschreibung:

Mit der Hilfe dieses Baukastens können "Script Kiddies" fast ohne jegliches Wissen solch eine JPEG-Datei erstellen.

Der Nutzer gibt einfach die zu herunterladende Datei in ein Feld ein und klickt den Button "Make" und fertig ist die JPG Datei welche den Exploit Code in sich trägt.

Wird dieses Bild in einer Email empfangen oder auf einer Internetseite angeschaut so wird sofort die Datei heruntergeladen und gestartet.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Kit/VBSWormGen.150

Kurzinformationen

Virusname:	Kit/VBSWormGen.150

Alias:	VBS.AnnaKournikova.jpg VBS/OnTheFly

Viren Typ:	Wurm-Generator

Dateigröße:	variiert

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Datum:	16.02.2001

Schaden:	medium

Verbreitung:	medium

Allgemeine Beschreibung:

Mit dem VBS Wurm-Generator 1.5 können sehr einfach Internetwürmer erzeugt werden. Dieses Programm wurde bekannt durch den Virus VBS/SST.A (alias VBS.AnnaKournikova.jpg oder VBS/OnTheFly), der sich innerhalb weniger Stunden auf viele Rechnersysteme verbreitet hat.

Mit Hilfe weniger Mausklicks können über den Wurm-Generator Optionen ausgewählt werden, durch die verschiedene Schadensroutinen ausgeführt werden können. Zum Ausführen des Programmes selbst müssen auf dem Rechnersystem Visual Basic 5 Laufzeitbibliotheken installiert sein. Auf den Zielsystemen muß, wie bisher auch, der Windows Scripting Host (WSH), der standardmäßig beim Internet Explorer 5 dabei ist, installiert sein.

Abarten:

VBS/SST	alias VBS.AnnaKournikova.jpg.vbs

VBS/NeueTarife	alias VBS.VBSWG.K@MM

VBS/PicaWorm

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Lehigh

Kurzinformationen

Art: 	Überschreibender, residenter COMMAND.COM Infektor

Länge: 	1280 Bytes

Allgemeine Beschreibung:

Der Lehigh infiziert nur den COMMAND.COM, indem er dort nach dem Stackbereich sucht und sich dort einnistet. Hierdurch vermeidet er eine Verlängerung. Eine Abart dieses Virus hängt sich allerdings an einen infizierten COMMAND.COM an. Am Ende einer Datei befindet sich bei beiden Versionen die Kennung:

A9 65

Nach vier bzw. zehn Infektion zerstört der Virus in der Regel den Bootsektor und die FAT. Am Ende des Virus kann der Name von COMMAND.COM gefunden werden:

command.com

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Liberty

Kurzinformationen

Art: 	speicherresidenter COM- und EXE- Infektor

Länge: 	2858 Byte

Allgemeine Beschreibung:

Der Virus Liberty weist keinerlei Schadensfunktionen auf. Er enthält den Text:

-MYSTIK -COPYRIGHT (c) 1989 - 2000, by SsAsMsUsEsL

Dateien, die kleiner als 1280 Byte sind, werden nicht infiziert.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Lisbon

Kurzinformationen

Art: 	nicht speicherresidenter COM- Infektor

Länge: 	648 Byte

Ähnlichkeiten: 	Vienna

Allgemeine Beschreibung:

Der Virus enthält den Text "@AIDS". Dieser Text steht in den letzten fünf Bytes einer infizierten Datei. Dateien, die kleiner als 10 Byte oder größer als 64 000 Byte sind, werden nicht infiziert. Der Virus überschreibt in einigen Dateien die ersten fünf Bytes mit "@AIDS" und zerstört diese auf diese Weise.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Macho

Kurzinformationen

Alias:	Syslock

Art: 	Nicht residenter .COM und .EXE Infektor

Länge: 	3551 Bytes

Ähnlichkeiten: 	Cookie, Christmas

Allgemeine Beschreibung:

Dieser Virus wird über das Environment eines Rechnersystemes gesteuert, ist verschlüsselt und versucht, alle ausführbaren Programme zu infizieren. Infektionen unterbleiben jedoch, wenn im Environment des Rechners 'SYSLOCK=@' angegeben ist. Andernfalls infiziert er Programmdateien. Witzigerweise ersetzt er manchmal in infizierten Dateien alle Vorkommen von 'Microsoft' durch 'Machosoft'. Eine Abart erzeugt eine Datei IBMIONET.SYS.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Michelangelo (Bootsektorvirus)

Der Michelangelo-Virus nistet sich im Bootsektor einer Diskette oder dem Master-Bootsektor einer Festplatte ein. Er ersetzt den an diesen Stellen liegenden originalen (Start-)Programmcode mit seinem eigenen Code. Hierdurch erhält der Virus beim nächsten Systemstart vor dem Betriebssystem selbst die Kontrolle und wird in den Hauptspeicher geladen.

Beim Start eines Rechnersystems von einer Diskette wird zuerst der Bootsektor der Diskette eingelesen, damit das auf der Diskette liegende Betriebssystem nachgeladen werden kann. Anstelle des üblicherweise vorhandenen Startprogrammes wird nun aber bei einer infizierten Diskette der Michelangelo-Virus geladen, der sich im Hauptspeicher verankert.

Anschließend erlaubt der Virus dem Rechnersystem das Fortsetzen der Startsequenz, überwacht allerdings alle Zugriffe auf Diskette und Festplatte. Ist das Rechnersystem infiziert, prüft Michelangelo bei jeder neu eingelegten Diskette, ob diese schon infiziert ist und holt dies, falls nötig, nach.

Solange nicht von einer infizierten Diskette gebootet wird, können die Dateien von dieser Diskette problemlos mit dem Befehl COPY oder XCOPY auf einen nicht infizierten Datenträger übertragen werden. Die infizierte Diskette sollte anschließend sicherheitshalber formatiert werden (ab DOS 5.0 mit dem Parameter /U, da sonst die UNFORMAT-Infomationen den infizierten Bootsektor enthalten). Der Master-Bootsektor einer infizierten Festplatte kann nach einem Start von einer 'bekanntermaßen guten DOS-Diskette' ab DOS 5.0 mit FDISK /MBR (undokumentierter Parameter) wieder mit einer guten Kopie überschrieben werden, ohne die variablen Partitionsdaten selbst zu verändern. Anwendern früherer DOS-Versionen bleibt, sofern ein Low-Level Format vermieden werden soll, nur der Weg mit Hilfe der Norton-Utilities den originalen Master-Bootsektor von Cylinder 0, Head 0, Sector 7 auf Cylinder 0, Head 0, Sector 1 zurückzukopieren.

Infiziert der Michelangelo-Virus eine Diskette, dann kopiert er den originalen Bootsektor vom ersten Sektor der Diskette in den letzten Sektor des Rootdirectories. Hierdurch können Dateien verlorengehen oder, wenn neue Dateien hinzugefügt werden, die Diskette vollkommen unbrauchbar werden. Auf Festplatten können unter DOS-Versionen kleiner als 3.0 Datenverluste durch die Abspeicherung des Master-Bootsektors entstehen. Zumeist ist auch das Einrichten einer RAM-Disk nicht mehr möglich.

Am 6. März eines jeden Jahres führt der Michelangelo-Virus seine Schadensroutine aus. Er kopiert den Speicherinhalt ab der Adresse 5000:0000h über die Köpfe 0 bis 4, Cylinder Ø bis 255 und die Sektoren 1 bis acht einer Festplatte. In der Regel werden hierdurch die ersten 9 MB einer Festplatte unbrauchbar und die wichtigsten Teile, FAT und Rootdirectory, ebenfalls irreparabel geschädigt. Die Festplatte ist nicht mehr startfähig und muß inklusive Partitionierung wieder frisch aufgebaut werden.

Der Michelangelo-Virus reduziert den verfügbaren Hauptspeicher um 2048 Bytes. Dies bedeutet, daß CHKDSK auf einem mit 640KB ausgestattetem Rechnersystem anstelle von 655.360 Bytes nur noch 653.312 Bytes frei meldet. Diese Speicherverminderung kann aber auch durch Varianten des Stoned-Virus, BIOS-Shadowing oder PS/2-Busmaus hervorgerufen werden.

Infizierte Disketten haben möglicherweise einen unvollständigen Bootsektor, dann sind nicht alle Meldungen vollständig lesbar. Auf Festplatten haben die Master-Bootsektoren verkleinerte freie Bereiche und ebenfalls unvollständige Meldungen.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


MIX

Kurzinformationen

Art: 	Residenter .EXE Infektor

Länge: 	632, 1618, 1636 Bytes

Ähnlichkeiten: 	Icelandic

Allgemeine Beschreibung:

Infizierte Dateien können durch folgenden String am Ende erkannt werden:

MIX1

Ist im Systemspeicher an der Stelle 0:33Ch der Wert 77h zu finden, ist der Virus vermutlicherweise resident. Die Ausgabe auf ein an einem seriellen oder parallelen Port angeschlossenen Gerät wird verstümmelt. Darüber hinaus geht die NUM Leuchte bei den neueren Tastaturen konstant an. Nach der 6. Infektion führt ein Systemstart zum Absturz des Rechnersystems. Es erscheint ein 'Ball' auf dem Bildschirm.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Mummy

Kurzinformationen

Alias:	Platinum

Art: 	speicherresidenter .EXE-Infektor

Länge: 	1399-1414 Byte

Ähnlichkeiten: 	Jerusalem

Allgemeine Beschreibung:

Dieser Virus installiert sich als TSR-Programm und markiert den benutzen Speicher als zu DOS gehörig. EXE-Dateien werden bei deren Ausführung und beim Öffnen infiziert: Es genügt also, eine Datei zu kopieren, um sie zu infizieren. Eine Version des Virus besitzt einen Infektionszähler, der nach jeder erfolgreichen Infektion erniedrigt wird. Erreicht der Zähler Null, dann überschreibt der Virus die ersten 100 Sektoren auf der Festplatte.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Murphy

Kurzinformationen

Art: 	speicherresidenter COM- und EXE-Infektor

Länge: 	1614 Bytes

Allgemeine Beschreibung:

Es werden die oben genannten Dateien, sofern Sie größer als 1614 Bytes sind, beim Öffnen infiziert. COM Files, die größer als 64 000 Bytes sind, weisen eine Resistenz auf. Alle infizierten Dateien enthalten die Nachricht:

Amilia I Virii (NuKE),99i; By Rock Steady/NuKE

Wird sonntags ein EXE-File aufgerufen, erscheint der Text:

Amilia I Virii-(NuKE) Released dec.91 Montreal (c) NuKE Development Softwarw Inc.

Anschließend wird das Programm abgebrochen. Besonderheit: Der Virus überprüft ständig INT 13H, um nicht von Virenwächtern erkannt zu werden.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Music Bug (Bootsektorvirus)

Der Music Bug infiziert auf Disketten wie auf Festplatten die Bootsektoren. Wenn von einer infizierten Diskette gebootet wird, so spielt der Virus auf dem Lautsprecher eine zufällige Folge von Tönen. Werden auf einem infizierten AT HD-Disketten formatiert, verändert der Virus das Diskettenformat auf 360 KB und alle 1.2 MB Disketten werden nicht mehr erkannt.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


MVF

Kurzinformationen

Alias: 	Mad Virus Factory

Art: 	Residenter .COM-Infektor

Länge: 	1903 Bytes

Allgemeine Beschreibung:

Der verschlüsselte Virus infiziert beim Ausführen eines Programmes. Er befällt auch den COMMAND.COM - danach bleibt das Rechnersystem allerdings oft hängen. Spätere Versionen des MVF infizieren auch beim Öffnen von Dateien.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Natas

Kurzinformationen

Alias:	Satan

Art: 	Resident, Stealth, Polymorph, Multipartite

Länge: 	4744 Bytes, Speicher 6144 Bytes, 9 Sektoren HD/FD

Allgemeine Beschreibung:

Natas ist ein komplexer Virus, der neben .COM und .EXE-Programmen auch den Partitionssektor der Festplatte und Bootsektoren von Disketten infiziert. Er ist in allen Bereichen vollständig stealth und kann außer im Speicher nicht gefunden werden, solange der Virus aktiv ist. Der Virus ist polymorph und zudem noch destruktiv. Natas entpuppt sich als ein kleines Teufelchen (Tip: lesen Sie den Namen mal rückwärts...).

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Navidad

Kurzinformationen

Virusname:	TR.Worm.Navidad

Alias:	W32/Navidad@M

Viren Typ:	Wurm

Dateigröße:	32.768 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	South America

Datum:	10.01.2001

Schaden:	high!

Verbreitung:	low

Allgemeine Beschreibung:

Der Internetwurm TR.Worm.Navidad wird als Attachment (Dateianhang) über Emails von einem verseuchten Computer versendet. Das Attachment hat den Namen NAVIDAD.EXE. Aufgrund eines Programmierfehlers können nach seiner Aktivierung keine Anwendungen mit der Endung .EXE mehr ausgeführt werden.

Seit Januar 2001 gibt eine neue Variante von Navidad, die von AntiVir als W32.Navidad.B erkannt wird. Er hat die gleiche Schadensroutine wie sein Vorgänger, ist aber in seinem Aussehen unterschiedlich. Anstatt des Augensymbols in der Taskleiste bspw. zeigt diese Variante ein Blumensymbol.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Neuroquila

Kurzinformationen

Alias: 	<HAVOC>, Neuro.Havoc, Wedding

Länge:	EXE-Programme: 4644-4675 Bytes, Festplatte & Disketten: 9 Sektoren

Art:	Residenter Retrovirus, Stealth, Polymorph, Multipartite

Allgemeine Beschreibung:

Neuroquila infiziert die Partition der Festplatte, Bootsektoren von 1.2 und 1.44MB Disketten und .EXE Programme. Er kann durch alle drei Infektionsarten aktiv werden. Wird von einer verseuchten Partition oder Diskette gebootet, kopiert sich der Virus in den freien Speicher ab 7C00:0. Interrupt 13h und 21h werden auf normale Art belegt und der Virus damit aktiv. Im Speicher ab 0:4E0 und 0:4F0 werden Sprungbefehle eingefügt, auf die die Interruptvektoren 21h bzw. 13h von Neuroquila umgeleitet werden. Der Virus versucht an dieser Stelle die Partition der Festplatte zu infizieren und lädt dann den ursprünglichen Partitions- oder Bootsektor nach, der erst entschlüsselt und dann gestartet wird.

Der Virus wartet, bis Interrupt 21h von DOS belegt wird und aktiviert dann eine weitere INT 21h-Routine, die das Starten von MSDOS.SYS abfängt. Ist zu diesem Zeitpunkt DOS- oder XMS-UMB vorhanden, belegt der Virus dort Speicher, andernfalls verlängert er den STACKS-Bereich. Der Virus belegt in beiden Fällen 5344 Bytes an Speicher. Nachdem der Viruscode in den neuen Speicherbereich kopiert wurde, und die beiden "Hooks" bei 0:4e0h und 0:4f0h korrigiert wurden, versucht der Virus den Einsprung ins DOS-Kernel in der HMA zu berechnen. Dort wird in den INT 21h-Einsprung ein Sprung auf den Viruscode eingefügt (Splicing). Interruptlister und Systeminfoprogramme zeigen keinerlei Veränderung von Int 21h an. Die endgültige INT 21h-Routine überprüft folgende DOS-Funktionen: 4Bh, 4Ch, 11h, 12h, 4Eh, 4Fh, 3Fh, 3Eh, 3Dh, 32h, 44h, 25h, 40h. Während des Bootvorganges wird die CONFIG.SYS kontrolliert und folgende Programme übersprungen: "VIRSTOP.EXE" (F-PROT) und DOSDATA.SYS (QEMM). Ebenfalls wird ein Programm namens "QC*" deaktiviert, wobei es sich um das Antiviren-Programm "QCDRV" von H+BEDV handelt.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Neuroquila.N8FALL.A

Kurzinformationen

Alias:	Neuroquila, Art & Strategy, Nightfall

Länge:	EXE-Programme: 4554-4585 Bytes, Speicher: 4688 Bytes

Art:	Residenter Retrovirus, Stealth, Polymorph

Allgemeine Beschreibung:

N8FALL basiert offensichtlich auf Neuroquila, obwohl die Fähigkeit, Festplatten und Disketten zu infizieren, fehlt. Die Polymorphic-Engine stimmt bis auf ein paar kleinere Änderungen mit der von Neuroquila überein. Statt dessen infiziert N8FALL jetzt auch beim Schließen von Programmen (Fast Infektor) und neben EXE-Programmen befällt N8FALL jetzt auch COM-Programme.

Wird ein infiziertes Programm gestartet, entschlüsselt sich der Virus zuerst im Speicher und überprüft anhand der Speicherstelle 0:4e0h, ob er bereits aktiv ist. Ist das nicht der Fall, belegt der Virus DOS- bzw. XMS-UMB, oder, falls dies nicht möglich ist, Speicher unterhalb der 640K-Grenze. Es werden 4688 Bytes belegt und als SYSTEM-Bereich markiert. Der Virus benutzt wie Neuroquila kein Einzelschritt-Modus (Tracer) zum Ermitteln des ursprünglichen INT 21h-Einsprungs, sondern sucht direkt innerhalb der HMA nach den typischen Einsprung und patcht ihn so, daß der Virus aufgerufen wird. Die Adresse von INT 2Fh wird auf die gleiche Methode ermittelt, der Interrupt selber aber nicht belegt. War die Suche nach dem DOS-Kernel erfolgreich, infiziert der Virus über die "COMSPEC="-Angabe den Kommandointerpreter, üblicherweise COMMAND.COM.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Neuroquila.N8FALL.B

Kurzinformationen

Alias:	Neuroquila, Art & Strategy, Nightfall

Länge:	EXE-Programme: 5801-5832 Bytes, Speicher: 6048 Bytes

Art:	Residenter Retrovirus, Stealth, Polymorph

Allgemeine Beschreibung:

Dieser Virus ist wesentlich größer als die ursprüngliche Variante, enthält aber keine wesentlichen Veränderungen am eigentlichen Viruscode. Die Viruslänge liegt jetzt bei 5801 bis 5832 Bytes bei infizierten Programmen und 6048 Bytes Speicherbelegung. Wie N8FALL.A belegt der Virus den Speicher durch direkte MCB-Manipulation oder allokiert DOS- bzw. UMB-Speicher.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Neuroquila.N8FALL.Companion

Kurzinformationen

Alias:	Neuroquila-Companion

Länge:	COM-Programme: 527 Bytes, Speicher: 672 Bytes

Art:	Residenter Companion-Virus, Semi-Stealth, Fast Infector

Allgemeine Beschreibung:

Dieser Virus wird von Neuroquila.N8FALL.B, sechs Monate nachdem COMMAND.COM infiziert wurde, aktiviert.

N8FALL.Companion ist speicherresident und belegt 672 Bytes an konventionellem DOS-Speicher, indem der letzte MCB verkürzt und als Systembereich markiert wird. Als Selbsterkennung benutzt der Virus die Speicheradresse 0:5D2h, an der bei aktivem Virus die Zahl 5832h zu finden ist.

INT 21h wird auf die übliche Methode mittels direkter Manipulation der Interrupttabelle belegt. Normalerweise würden Antivirus-Wächterprogramme diesen Virus beim Installieren blockieren, aber da N8FALL.B bereits aktiv ist und seinerseits viele der bekannten Schutzprogramme deaktiviert hat, kann sich N8FALL.Companion meist ungestört aktivieren.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


No Bock

Kurzinformationen

Art:	Nicht residenter .COM Infektor

Länge:	440 Bytes

Allgemeine Beschreibung:

Der Virus enthält diese verschlüsselte Nachricht:

No Bock today Error, System halted!

Diesen Virus hat die Menschheit übrigens einer Göttinger Firma zu verdanken (der Name des Programmierers und dieses Unternehmens ist uns bekannt). Die Firma gibt vor, sie habe damit eines ihrer Programme gegen 'Änderungen des Copyrights' schützen wollen. Das Programm wird mittlerweile ohne das kleine 'Geschenk' ausgeliefert.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


O97M/Cybernet.A

Kurzinformationen

Virusname:	O97M/Cybernet.A

Alias:	W97M/Cybernet@mm

Viren Typ:	Makrovirus

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	Indonesia

Datum:	30.05.2000

Schaden:	medium

Verbreitung:	low

Allgemeine Beschreibung:

Dieser Makrovirus infiziert Word- und Excel Dokumente gleichermaßen. Er infiziert die Datei "Normal.dot", die bei jedem Start eines Word-Dokuments von Word selbst mitgeladen wird. Außerdem setzt er die Sicherheitseinstellungen von MS Word und MS Excel auf niedrig. Danach erstellt er im Excel Startverzeichnis "C:\Programme\Microsoft Office\Office\XLStart" die Datei "CyberNet.xls". Er versendet sich über MS Outlook an die ersten 50 Einträge im Adressbuch.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Ohio (Bootsektorvirus)

Kurzinformationen

Alias:	Den Zuk, Venzuelan

Ähnlichkeiten:	Brain Boot

Allgemeine Beschreibung:

So wie der Code aussieht, hat der Autor einige Teile vom Brain Virus entnommen und als Baukasten für einen eigenen Virus verwendet, was offenbar die klassische Art ist, einen neuen Virus zu schreiben. Wie der Brain Virus ist dieser Virus etwa zwischen 3KB und 7KB lang und ist 'Brain aware'. Dies bedeutet, daß der Virus, wenn er auf einen Brain Virus im Bootsektor stößt, den bereits vom Brain Virus abgespeicherten Bootsektor holt und diesen für sich abspeichert. Eine vom Ohio oder Denzuk infizierte Diskette kann nicht mehr vom Brain Virus befallen werden.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Omega

Kurzinformationen

Art:	.COM-Infektor

Länge:	440 Bytes

Allgemeine Beschreibung:

Am Freitag den 13. wird das griechische Omega ausgegeben und die Festplatte zerstört.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


One Half

Kurzinformationen

Alias:	FreeLove, Slovak Bomber

Art:	Resident, Stealth, Polymorph, Multipartite

Länge:	3544, 3577 Bytes, Speicher 4096 Bytes, 8 Sektoren HD/FD

Allgemeine Beschreibung:

One Half infiziert die Partition der Festplatte und Programme vom Typ .COM und .EXE. Beim Start eines infizierten Programmes entschlüsselt sich der Virus im Speicher und überprüft mit der selbstdefinierten INT 21h-Funktion AX=4B53h (Resultat: AX=454Bh), ob er bereits im Speicher aktiviert wurde. Ist das nicht der Fall, durchläuft der Virus INT 13h im Einzelschrittmodus, um mit der ursprünglichen Adresse aktive Antivirenprogramme unterlaufen zu können. Während des Tracens wird der Partitionssektor der Festplatte gelesen und geprüft, ob er bereits infiziert ist. (Offset 25h=00d3h, Offset 180h=072eh). Ist die Partition noch nicht infiziert, ermittelt der Virus die maximale Anzahl der Sektoren und Zylinder der Festplatte und sucht die aktive Partition der Festplatte, wobei nur Partitionen vom Typ DOS 12 Bit, DOS 16 BIT und DOS 32 BIT infiziert werden. Ein Schlüssel wird ermittelt und zusammen mit den Daten über die Festplatte verschlüsselt in den Partitionsektor geschrieben. Der Rest des Virus (7 Sektoren) befindet sich innerhalb der ersten Zylinders der Festplatte. Der Virus restauriert jetzt die Stellen der gestarteten Datei, die mit seiner Entschlüsselungsroutine und dem Sprung zum Viruscode überschrieben worden sind. Ist das infizierte Programm vom Typ EXE und wurden bei der Infektion Relokationseinträge überschrieben, lädt der Virus die ursprünglichen Einträge nach und korrigiert das Programm im Speicher. Der Virus wird erst resident, wenn von einer verseuchten Partition gestartet wird.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Oropax

Kurzinformationen

Alias:	Music, Musician

Art:	Direkter, residenter .COM Infektor

Länge:	2756 bis 2806 Bytes

Allgemeine Beschreibung:

Etwa fünf Minuten nach Infektion einer Datei spielt dieser Virus bis zu sechs verschiedene Musikstücke im Sieben-Minuten-Takt. Eine andere Abart spielt bis zu drei verschiedene Musikstücke. Das Lied 'An der schönen blauen Donau' klingt nicht schlecht. Infizierte Dateien haben eine durch 51 teilbare Länge. Eine genaue Analyse wird durch selbstmodifizierenden Code erschwert. Dieser Virus infiziert Dateien nicht nur bei Schreibzugriffen, sondern auch beim Löschen.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Parity (Bootsektorvirus)

Kurzinformationen

Alias:	Parity Check

Allgemeine Beschreibung:

Der Parity-Virus ist ein reiner Bootsektorvirus und verkleinert den zur Verfügung stehenden Hauptspeicher im 640 KB-Bereich um 1 KB. Ohne geladenen Tastaturtreiber läßt der Virus das Rechnersystem zur vollen Stunden abstürzen. Am Bildschirm wird im 40*25-Modus die Meldung "PARITY CHECK", jedoch ohne weitere Adressangaben über die Stelle, an der dieser Paritätsfehler aufgetreten sein soll, ausgegeben. Beim Laufenlassen eines Debuggers können Systemabstürze erfolgen, die Warmbootsequenz (Strg)+(Alt)+(Entf) führt nur scheinbar einen Warmstart aus.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


PDF/Peach

Kurzinformationen

Virusname:	PDF/Peach

Alias:	VBS/PeachyPDF@MM

Viren Typ:	Virus

Dateigröße:	variiert

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	Argentina

Datum:	09.08.2001

Allgemeine Beschreibung:

Mit dem PDF/Peach ist das der erste Virus, der eine PDF-Datei als Verbreitung nutzt. Er versendet sich als Email über Outlook mit Hilfe des Outlook Adressbuchs an die ersten 100 Mailempfänger.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Perfume

Kurzinformationen

Alias:	4711, G

Art:	Residenter .COM Infektor

Länge:	765 Bytes

Allgemeine Beschreibung:

Der Perfume Virus ist ein weitläufiger Verwandter des Black Jack und funktioniert ähnlich, der Virus wird ebenfalls resident installiert. Perfume ist jedoch eher ein 'Spaßvirus', da sich jede infizierte Datei nach dem 80. Infektionsversuch nur noch durch Eingabe eines Paßwortes (derzeit '4711') starten läßt. Zerstörungen werden nicht angerichtet.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Ping Pong (Bootsektorvirus)

Kurzinformationen

Alias:	Bouncing Ball, Italian, Big Italian

Allgemeine Beschreibung:

Gibt es sowohl als reine Diskettenversion wie auch in einer Harddiskversion. Gegenüber dem Stoned Virus macht der Ping Pong schon eine Reihe von Fehlerchecks. So prüft er beispielsweise nach, ob eine Infektion überhaupt möglich und sinnvoll ist. Beim Booten einer infizierten Diskette wird, wenn die Festplatte nicht schon verseucht ist (Kennung 01357h an Offset 02FCh), der originale Bootsektor der Festplatte in den Speicher geladen. Anschließend sucht sich der Virus einen freien Cluster (Cluster - in der Regel ein Bereich von vier Sektoren á 512 Bytes) auf der Festplatte aus und überschreibt den Bootsektor mit dem ersten Teil von sich selbst. Der zweite Teil landet im ersten freien Sektor des Clusters und der originale Bootsektor wird in dem zweiten Sektor des Clusters abgespeichert. Der Cluster wird dann vom Virus in nur einer FAT als schlecht markiert. Frühere Versionen des Virus belegten etwa 2KB unter der Oberkante des maximal verfügbaren Speichers und liefen nicht auf 80286er und 80386er Rechnern.

Manchmal, so etwa jede halbe Stunde, läßt der Virus einen herumhüpfenden Ball oder Punkt erscheinen. Dies läßt sich nur durch einen Neustart des Rechners beenden. Eine Infektion einer Diskette von der Festplatte aus ist schon mittels 'dir a:' zu bewerkstelligen.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Plastique

Kurzinformationen

Art:	Residenter .COM und .EXE Infektor

Länge:	3004, 4096 Bytes

Ähnlichkeit:	Plastique Virus A, Plastique Virus B

Allgemeine Beschreibung:

Plastique Virus A:

Nach etwa 20 Minuten ertönt Musik, es werden einzelne Spuren formatiert, Festplatten sind nicht mehr bootfähig. Plastique befällt sowohl .EXE Dateien als auch .COM Dateien, aber nicht COMMAND.COM. Er verträgt sich aber nicht mit Speichermanagern wie QEMM oder 386MAX. Infizierte Dateien werden durchschnittlich um 3012 Bytes verlängert, maximal um 3020 (Plastique Virus B). Und auch gleich zu dieser Abart:

Plastique Virus B:

Gegenüber der A-Version ändert er neben dem INT 21h auch die Interrupts 13h, 9h und 8h. Wozu er Interrupt EDh braucht, ist noch nicht bekannt. Infizierte Dateien vergrößern sich um 4096 Bytes - aber bitte nicht mit dem 4096 Virus verwechseln.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


RedX

Kurzinformationen

Alias:	Ambulance, Ambulance Car, Emergency

Art:	Nicht residenter .COM Infektor

Länge:	796 Bytes

Allgemeine Beschreibung:

Man erkennt diesen Virus daran, daß von Zeit zu Zeit ein Krankenwagen über den Bildschirm fährt. Dieser Krankenwagen mit Blinklicht auf dem Dach ist aus ASCII-Zeichen als Blockgrafik aufgebaut, also ein einfaches Modell. Bei einer Infektion einer Datei versucht der Virus noch bis zu zwei andere Dateien zu infizieren, jedoch nicht die erste '.COM' Datei in einem Directory.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Sampo (Bootsektorvirus)

Kurzinformationen

Alias:	Wllop, Turbo

Allgemeine Beschreibung:

Dieser Bootsektorvirus infiziert den Master-Bootsektor einer Festplatte, wenn von einer infizierten Diskette gestartet wird. Wurde von einem infizierten Datenträger gestartet, infiziert der Virus nicht schreibgeschützte Disketten bei jedem Lese- oder Schreibzugriff, beispielsweise DIR A:

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Silly Willy

Kurzinformationen

Art:	Nicht speicherresidenter File-Virus

Erstvorkommen:	1991 in München

Länge:	.COM-Files: ca. 2261 bis 2314 Byte; .EXE-Files: 803 Byte werden überschrieben

Allgemeine Beschreibung:

Infizierte EXE-Programme geben mit ASCII-Zeichen ein Gesicht auf dem Bildschirm aus. Augenbrauen und Mund verändern sich laufend (traurig und fröhlich). Folgende Texte erscheinen:

The User of This Computer ist Stupid!

Please wait while I'm formatting your Harddisk.

Trotz der Meldung und aufleuchtender Laufwerkslampe wird NICHT formatiert. EXE-Files werden nur infiziert (zerstört), wenn das Jahr des Systemdatums größer als 1989 ist. Nur .COM-Dateien sind infektiös.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Solano

Kurzinformationen

Art: speicherresidenter COM- und EXE-Infektor

Länge: 2000 Byte

Allgemeine Beschreibung:

12 Minuten, nachdem sich der Virus im Speicher festgesetzt hat, vertauscht er die Zeichen auf dem Bildschirm. Dieser Vorgang wiederholt sich alle paar Minuten erneut.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


SONIC

Kurzinformationen

Virusname:	SONIC

Alias:	W32/Sonic.worm

Viren Typ:	Wurm

Dateigröße:	25.088 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	Deutschland

Datum:	09.11.2000

Schaden:	medium

Verbreitung:	medium

Allgemeine Beschreibung:

Der neue Email-Wurm "Sonic" ist ein sogenannter "Mehrkomponenten-Infektor": Dieser Virus kann, sobald er erfolgreich infizieren konnte, beliebig weitere Komponenten aus dem Internet "nachladen" und somit fast uneingeschränkte Funktionen "updaten". Es ist möglich, daß die Erstinfektion nur mit einer Komponente des Virus, dem "Loader", stattfindet. Dieser lädt dann die restlichen Komponenten des Virus aus dem Internet auf den infizierten Rechner herunter.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Stimulation

Kurzinformationen

Art:	Verlängernder File-Virus.

Allgemeine Beschreibung:

Dieser Virus durchsucht das aktuelle Directory nach .COM-Dateien. Jede Kopie des Virus ist unterschiedlich verschlüsselt. Wenn die Systemuhr auf Null steht, erscheint:

HA HA HA YOU HAVE A VIRUS FRODO LIVES!

Have you ever danced with the Devil in the pale moonlight?

DATA CRIME VIRUS RELEASED: 1 MARCH 1989 ALIVE:

Your system is infect by the STIMULATION virus. Have a nice day!

Danach wird der PC blockiert.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Stoned (Bootsektorvirus)

Kurzinformationen

Alias:	New Zealand, Donald Duck

Ähnlichkeiten:	Stoned II, Angelina

Allgemeine Beschreibung:

Häufiger anzutreffender, residenter Bootsektorvirus. Wie auch beim Brain konnten erste Versionen dieses Virus nur 360 KB-Disketten infizieren. Nach einer "Verbesserung" kann er nun auch Festplatten und HD Disketten "richtig" infizieren. Frühere Versionen taten sich hier schwer und löschten schlicht und einfach vermeintlich unbenutzte Sektoren im Directory-Bereich.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


SubSeven Version 2.13

Kurzinformationen

Virusname:	SubSeven Version 2.13

Alias:	Zeckentod.exe

Viren Typ:	Trojaner

Dateigröße:	~

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	Netherlands

Datum:	22.02.2001

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Ein neuerer Fall geisterte als "Zeckentod" durch die Presse. Eine Server-Datei des Spionageprogrammes SubSeven wird unter dem Namen "Zeckentod.exe" verbreitet. Mit Hilfe dieser Datei können Daten unverlangterweise ins Internet verschickt werden.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Sunday Virus

Kurzinformationen

Art:	Residenter .COM und .EXE Infektor

Länge:	1631 Bytes

Allgemeine Beschreibung:

Dieser Virus hat etwas gegen Sonntagsarbeit. Er gibt folgende Meldung aus:

Today is Sunday! Why do you work so hard?

All work and no play make you a dull boy!

Come on!  Let's go out and have some fun!

Ein Teil des Virus stammt vom Israel Virus. Teilweise zerstört der Virus unter bestimmten Umständen die FATs. Eine Abart des Sunday aktiviert sich nie, d. h. die Meldung wird nicht angezeigt.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Sylvia

Kurzinformationen

Alias:	Holland Girl

Art: 	nicht speicherresidenter COM- Infektor

Länge:	1332 Byte

Allgemeine Beschreibung:

Der Virus infiziert .COM-Dateien im aktuellen Verzeichnis und im Hauptverzeichnis von Laufwerk C:. Der Viruscode enthält den Text:

This program is infected by a HARMLESS Text Virus V2.1

Send a FUNNY postcard to : Sylvia

You might get an ANTIVIRUS program.....

Mit der letzten Bemerkung hat Sylvia nicht ganz unrecht...

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Tai Pan

Kurzinformationen

Alias:	Whisper

Art:	Residenter .EXE Infektor

Länge: 	438 Bytes

Ähnlichkeiten: 	Tai Pan-666, Tai Pan 434

Allgemeine Beschreibung:

Tai-Pan ist ein einfacher, residenter Dateivirus. Beim Starten eines infizierten Programmes überprüft der Virus mit einer selbstdefinierten INT 21h-Funktion AX=7BCEh (Resultat: AX=7BCEh), ob er bereits im Speicher aktiv ist. Ist das nicht der Fall verkürzt der Virus die MCB-Kette um 528 bzw. 752 Bytes und kopiert sich in diesen Speicherbereich hinein. Um nicht überschrieben zu werden, markiert der Virus diesen Speicherbereich als SYSTEM-MCB. Der Virus belegt Interrupt 21h ohne besondere Tricks und springt nach der Aktivierung zurück zum eigentlichen Programmstart.

Der Virus überwacht die EXEC-Funktion von DOS und infiziert alle Programme, die kleiner als 64833 Bytes sind und die EXE-Signatur "MZ" aufweisen. Der Wert von IP im EXE-Header wird als Infektionsmarkierung benutzt, um erneute Infektionen auszuschließen. Tai Pan verlängert die Datei um 438 Bytes und befindet sich am Dateiende. Der Virus behält bei der Infektion das ursprüngliche Dateidatum bei, er kann allerdings nicht das DOS-Dateiattribut READ-ONLY, SYSTEM oder HIDDEN umgehen.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Taiwan

Kurzinformationen

Art:	Nicht residenter .COM Infektor

Länge:	708, 743 Bytes

Allgemeine Beschreibung:

Am 8. eines jeden Monats überschreibt der Virus 160 Sektoren ab dem Sektor 1 der Festplatten 'C' und 'D'. Hierdurch werden unter anderem die FAT und das Hauptverzeichnis zerstört. Ist eine .COM-Datei kleiner als die Virusgröße, so wird die infizierte Datei in der Größe verdoppelt. Bei jeder Infektion startet der Virus noch drei zusätzliche Infektionsversuche. Der Virencode wird am Beginn einer infizierten Datei eingefügt.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Tenbytes

Kurzinformationen

Alias:	V-Alert

Art:	Residenter .COM und .EXE-Infektor

Länge:	1554 Bytes

Allgemeine Beschreibung:

Nach seiner Aktivierung zwischen September und Dezember überschreibt der Virus bei jeder zum Schreiben geöffneten Datei die ersten zehn Bytes.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Tequila

Kurzinformationen

Länge:	2468

Art:	Residenter EXE-Infektor

Ähnlichkeiten: 	Flip

Allgemeine Beschreibung:

Überschreibt die Laderoutine des Masterbootsektors (Partitionssektor) mit seiner eigenen Laderoutine, nicht jedoch, ohne den richtigen an anderer Stelle auf der Festplatte zu sichern. Durch weitere Manipulationen verringert sich die Kapazität der 1. logischen Festplatte um 6 Sektoren (3 KByte), wohin sich der Virus selbst kopiert. Im Speicher nistet er sich an der Oberkante DOS ein, jedoch nicht, wenn ein infiziertes Programm gestartet wird, sondern erst nachdem Sie Ihren Rechner von der Festplatte booten. Programme und Overlaydateien werden bei der Ausführung infiziert. Die Erstellungszeit einer infizierten Datei weist im Sekundenfeld die Zahl 62 auf. Versucht ein Programm die Dateigröße einer infizierten Datei zu ermitteln, zieht Tequila hiervon erst einmal seine eigene Größe ab. Das geschieht auf einer niedrigeren Ebene als bei Flip, Tequila kann damit auch andere Programme als COMMAND.COM foppen.

WARNUNG:

Ist Tequila resident, also aktiv, erkennt CHKDSK Dateizuordnungsfehler - die in Wirklichkeit aber gar keine sind, da der Virus durch Stealth-Techniken dem Betriebssystem eine andere Dateilänge vorgaukelt. Wenn Sie hier CHKDSK /F eingeben, zerwürfeln Sie Ihre Daten.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


TR.Sub7 Version 1.0-2.2

Kurzinformationen

Virusname:	SubSeven (TR.Sub7)

Viren Typ:	Trojaner

Dateigröße:	variiert

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	Netherlands

Datum:	22.08.2000

Schaden:	high!

Verbreitung:	low

Allgemeine Beschreibung:

Bei SubSeven handelt es sich um ein Backdoor-Programm (wie z.B. NetBus, Back Orifice etc.), welches einem Hacker ermöglicht, auf ein fremdes System zuzugreifen. Das Programm besteht aus einem Server- und einem Client-Programm welches zur Fernbedienung von Rechnern in einem Netzwerk eingesetzt werden kann. Mit Hilfe des Client kann ein Hacker in ein mit dem Server (dies ist der eigentliche Trojaner) infiziertes System eindringen. Bei den neueren Versionen von SubSeven wird auch immer noch ein Editserver mitgeliefert, mit dessen Hilfe sich viele unterschiedliche Einstellungen am Server vornehmen lassen.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


TR/Bagle.AK

Kurzinformationen:

Virusname:  	TR/Bagle.AK

Alias: 	W32/Bagle.dll.dr, TROJ_BAGLE.AI, W32/Bagle.AV.worm

Viren Typ: 	Trojaner

Dateigröße: 	12.800 Bytes

Betriebsysteme: 	Microsoft Windows 95/98/ME/NT/2000/XP

Datum: 	31.08.2004

Schadensroutine: 	Dieser Trojaner lädt eine Datei herunter und versucht Prozesse zu beenden.

VDF Version: 	6.27.00.40

Schaden:	low

Verbreitung:	low

Allgemeine Beschreibung:

Dieser Trojaner erreicht den Anwender per email mit ZIP Archiv als Dateianhang. Wird dieses extrahiert bekommt der Nutzer 2 Dateien zu gesicht.

photo.html

foto1.exe

Wird die HTML Datei ausgeführt startet diese die calc.exe Datei.

Der Trojaner foto1.exe versucht zunächst verschiedene Prozesse von Security-Software-Programmen und Teilen davon zu beenden.

Es wird versucht die Wurmkomponente von über 100 verschiedenen Webseiten herunterzuladen. Die Wurmkomponente ist in der Virenbeschreibung Worm/Bagle.AN beschrieben.

Sympthome

Vorhandensein verschiedener Dateien

Infektionsweg

Es ist anzunehmen, dass die Wurmkomponente nach Emailadressen sucht und den Trojaner an diese Adressen verschickt. Eine Email könnte folgendes Aussehen haben:
Betreff:	 	foto
Inhalt: 	foto
Dateianhang:	foto.zip

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


TR/Bagle.AL

Kurzinformationen:

Virusname:  	TR/Bagle.AL

Alias: 	W32/Bagle.dll.dr, Download.Ject.C

Viren Typ: 	Trojaner

Dateigröße: 	12.800 Bytes

Betriebsysteme: 	Microsoft Windows 95/98/ME/NT/2000/XP

Datum: 	01.09.2004

Schadensroutine: 	Dieser Trojaner lädt eine Datei herunter und versucht Prozesse zu beenden.

VDF Version: 	6.27.00.41

Schaden:	low

Verbreitung:	low

Allgemeine Beschreibung:

Diese Variante ist dem TR/Bagle.AK sehr ähnlich. Das Archiv enthält allerdings die Datei calc.exe anstatt poto1.exe.

Dieser Trojaner erreicht den Anwender per email mit ZIP Archiv als Dateianhang. Wird dieses extrahiert bekommt der Nutzer 2 Dateien zu gesicht.

photo.html

foto1.exe

Wird die HTML Datei ausgeführt startet diese die calc.exe Datei.

Der Trojaner foto1.exe versucht zunächst verschiedene Prozesse von Security-Software-Programmen und Teilen davon zu beenden.

Es wird versucht die Wurmkomponente von über 100 verschiedenen Webseiten herunterzuladen. Die Wurmkomponente ist in der Virenbeschreibung Worm/Bagle.AM beschrieben.

Sympthome

Vorhandensein verschiedener Dateien

Infektionsweg

Es ist anzunehmen, dass die Wurmkomponente nach Emailadressen sucht und den Trojaner an diese Adressen verschickt. Eine Email könnte folgendes Aussehen haben:
Betreff:	 	foto
Inhalt: 	foto
Dateianhang:	foto.zip

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


TR/Spy.Bizex.H

Kurzinformationen

Virusname:  	TR/Spy.Bizex.H

Alias: 	TrojanSpy.Win32.Agent.bc, Trojan.Tannick, Troj/Bizex-H

Viren Typ: 	Trojaner

Dateigröße: 	15.360 Bytes (EXE), 102.400 Bytes (DLL)

Betriebsysteme: 	Microsoft Windows 95/98/ME/NT/2000/XP/Server 2003

Datum: 	21.10.2004

Schadensroutine: 	Spioniert das Surfverhalten des Anwenders aus.

VDF Version: 	6.28.00.30

Schaden:	low

Verbreitung:	low

Allgemeine Beschreibung

TR/Spy.Bizex.H ist ein Trojaner, welcher überprüft, welche Webseiten vom Anwender besucht wurden und legt die Informationen auf einer bestimmten FTP Seite ab.

Wird der Trojaner ausgeführt, erstellt er eine 0 Byte grosse Datei im Windows Systemverzeichnis. Er kopiert sich in folgendes Verzeichnis:

%SystemDIR%\X3YY\<%8 zufällige Buchstaben%>.exe

und erstellt folgende Einträge in der Windows Registry unter:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVerion\Explorer\Shell Folders\AppData\

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\
"x3yy"="%SystemDIR%\X3YY\<%8 zufällige Buchstaben%>.exe"

Der Trojaner ändert die Startseite des Internet Explorers mit dem Werten "about:blank" und beendet Prozesse verschiedener Antiviren- und Firewall-Software.

Der Trojaner ist in der Lage folgende Aktionen durchzuführen:

Download von Dateien von zwei unterschiedlichen URLs

Aufbau einer Verbindung zu einer FTP Seite, zu der er die gestohlenen Informationen sendet.

TR/Spy.Bizex.H lädt die Datei %SystemDIR%\unic_32.dll aus dem Internet nach. Diese DLL ist in der Lage die URLs der besuchten Webseiten des aktuellen Anwenders in der Datei _post.log zu speichern, welche dann vom Trojaner auf eine bestimmte FTP Seite hochgeladen wird.

Symptome:

Vorhandensein der genannten Dateien und Registry-Einträge

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Traceback

Kurzinformationen

Art:	Residenter .COM und .EXE Infektor

Länge:	2930, 3066 Bytes

Allgemeine Beschreibung:

Der Virus kann durch die folgende 16 Byte lange Zeichenkette erkannt werden, die am Ende des Viruscodes zu finden ist:

58 2B C6 03 C7 06 50 F3 A4 CB 90 E8 E2 03 8B

Etwa eine Stunde nach einer Infektion eines Systems beginnen, ähnlich wie bei Black Jack, die Buchstaben vom Bildschirm zu fallen. Nach einer Minute kehren die Buchstaben automatisch wieder an Ihren Platz zurück. Je nach Abart und Version des Virus kann diese Zeitspanne durch einen Tastendruck abgekürzt werden. Andernfalls schickt diese Tastenbetätigung den Rechner in eine Endlosschleife.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Tremor

Kurzinformationen

Länge:	4000 Bytes

Art: 	Residenter Virus, Stealth, Fast Infector

Allgemeine Beschreibung:

Vergrößert die infizierten Dateien um 4000 Byte und setzt das Dateidatum um 100 Jahre hinauf. Tremor verwendet INT 21h, INT 15h, INT 9 und INT 24h.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Tumen 0.5

Kurzinformationen

Art:	Speicherresidenter File-Virus

Länge:	1663 Byte

Allgemeine Beschreibung:

Durch Drücken von STRG+ALT und einer beliebigen Taste ertönt ein akustisches Signal. Anschließend wird auf EGA- oder VGA-Bildschirmen die Farbpalette ausgegeben. Das geschieht übrigens auch nach jeder erfolgreichen Infektion.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Typo COM

Kurzinformationen

Alias:	Fumble

Art:	Residenter .COM Infektor

Länge:	712, 867 Bytes

Allgemeine Beschreibung:

Wird eine Datei infiziert, untersucht der Virus alle Dateien im angemeldeten Directory und infiziert diese, sofern das noch nicht geschehen ist. Je nach Version stört der Virus entweder die Druckausgabe zum Parallelport oder verfälscht Tastatureingaben. Dies ist besonders störend für Schnellschreiber. Eine Abart des Virus infiziert Dateien nur an geraden Tagen.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


V163

Kurzinformationen

Art:	speicherresidenter COM- und EXE- Infektor

Länge:	163 Byte

Allgemeine Beschreibung:

Der Virus infiziert sämtliche Dateien, die nicht mit einem "M" (4Dh) beginnen. Den Wert "M" (4Dh) setzt V 163 selbst im ersten Byte einer Datei ein. Der Virus scheitert an Readonly-Dateien.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Vacsina

Kurzinformationen

Art:	Residenter .COM, .EXE, .SYS und .BIN Infektor

Länge:	1339, 2764 (+ 132) Bytes

Ähnlichkeiten: 	Yankee Doodle

Allgemeine Beschreibung:

Vacsina ist ein Virus mit einer automatischen Updatefunktion. Trifft eine neuere Version auf eine ältere Version, wird die ältere Version vom Virus selbst entfernt und durch die neue ersetzt. In der Regel piepst der Vacsina Virus, wenn er eine Datei infiziert.

Das Infizieren von .EXE Dateien erfolgt in zwei Schritten, da der Virus anscheinend nur .COM Dateien 'richtig' infizieren kann. Bei dem ersten Aufruf einer .EXE Datei wird bei residentem Virus die zu infizierende Datei mit einem Relocator versehen. Mit diesem Relocator verhält sich die Datei nach außen für den Vacsina als .COM Datei und kann dann bei einem zweiten Aufruf von ihm infiziert werden.

Vacsina stellt in den vorliegenden Versionen bei infizierten Dateien Originaldatum und -zeit nicht wieder her. Hierdurch erhalten infizierte Dateien das zum Infektionszeitpunkt gültige Systemdatum und -zeit.

Interessant ist auch die Kennzeichnung der internen Versionen. Zumeist stellen die beiden letzten Bytes einer infizierten Datei die 'Versionsnummer' des Virus dar. Im Speicher ist die Versionsnummer im Segment 0 an Offset 0C7h wiederzufinden.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


VBS.Elva

Kurzinformationen

Virusname:	VBS.Elva

Alias:	I-Worm.Elva

Viren Typ:	Email-Wurm

Dateigröße:	7.174 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Datum:	25.08.2000

Schaden:	low

Verbreitung:	low

Allgemeine Beschreibung:

Dieser Email-Wurm versendet sich genau wie sein berühmter Vorgänger "Loveletter" via MS Outlook. Alle im Adressbuch eingetragenen Kontakte erhalten eine Email.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


VBS.Fireburn

Kurzinformationen

Virusname:	VBS.Fireburn

Alias:	VBS/Fireburn@MM

Viren Typ:	VB-Skriptvirus

Dateigröße:	5.132 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	Deutschland

Datum:	30.05.2000

Schaden:	low

Verbreitung:	low

Allgemeine Beschreibung:

Der neue Email-Wurm Fireburn versendet sich wie seine beiden Vorgänger "ILOVEYOU" und "NewLove" via Outlook. Seine Schadensfunktion startet am 20. Juni eines jeden Jahres.

Der Wurm versendet sich an alle Einträge im Adressbuch von OutLook. Dabei erstellt er nicht für jede Person eine eigene Email, sondern er trägt alle Kontakte in eine einzige Email als "Blind Carbon Copy" (BCC) ein. Außerdem kopiert er sich selbst nach c:\windows\rundll32.vbs.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


VBS.Guorm

Kurzinformationen

Virusname:	VBS.Guorm

Alias:	VBS/Gorum.a

Viren Typ:	VB-Skriptvirus

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Datum:	31.05.2000

Schaden:	medium

Verbreitung:	medium

Allgemeine Beschreibung:

Dieser Virus nützt wieder einmal die Möglichkeiten der Visual Basic Scriptsprache (VBS). Doch Vorsicht! Obwohl der Virus in VB-Skript realisiert wurde, ist er als Dropper als Makrovirus in Microsoft Word Dokumenten zu finden. Beim Öffnen eines infizierten Dokuments wird er aktiviert und erstellt sich selbst unter dem Dateinamen GuormEx.vbs im Windows-Systemverzeichnis. Anschließend wird diese Datei sofort ausgeführt.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


VBS.HappyTime

Kurzinformationen

Virusname:	VBS.HappyTime

Alias:	VBS/Haptime@MM

Viren Typ:	Virus

Dateigröße:	variiert

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Datum:	06.06.2001

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

HappyTime ist ein VBS Wurm, welcher zwei unterschiedliche Schadensroutinen beinhaltet: er löscht alle .DLL und.EXE Dateien im Windowsverzeichnis und versendet seinen Wurmcode via Outlook oder Outlook Express.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


VBS.LiveStages.A

Kurzinformationen

Virusname:	VBS.LiveStages.A

Alias:	VBS.Stages.A

Viren Typ:	Visual Basic-Scriptvirus

Dateigröße:	39.936 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Datum:	20.06.2000

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Dieser Visual Basic-Scriptvirus ist sehr geschickt bei seiner Tarnung. Er liegt im Windows-Format .SHS (Scrap Object) vor. Dieses Dateierweiterung wird nicht von Windows angezeigt - auch wenn explizit alle Dateierweiterungen angezeigt werden sollen. Somit bleibt nur noch der Dateiname LIFE_STAGES.TXT zu sehen. Um seine Funktion nach dem Start nicht aufliegen zu lassen, erzeugt der Virus eine gleichnamige Textdatei im Temp-Verzeichnis und zeigt diese zur Täuschung an. Um das ganze noch zu perfektionieren, wird sogar das standartmäßige Icon der .SHS-Dateien durch das .TXT-Icon ersetzt.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


VBS.LoveLetter

Kurzinformationen

Virusname:	VBS.LoveLetter

Viren Typ:	VBScript Virus

Dateigröße:	variiert

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	Phillipines

Datum:	05.05.2000

Schaden:	medium

Verbreitung:	high!

Allgemeine Beschreibung:

VBS.LoveLetter ist ein Scriptvirus, der sich über Windows-Emailprogramme ausbreitet. Es sind nur solche Emailsysteme betroffen, die aktive Inhalte ausführen können oder dürfen. Der Wurm benutzt selbst die Automatisierungsfähigkeiten von Outlook und ähnelt in seiner Verbreitungsmethode dem Melissa-Virus. Nur werden im Gegensatz zum Melissa-Virus alle Kontaktadressen aus Outlook als Empfänger herangezogen.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


VBS.LoveLetter.BD

Kurzinformationen

Virusname:	VBS.LoveLetter.BD

Viren Typ:	VBScript Virus

Dateigröße:	12.607 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Datum:	18.08.2000

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Zur Zeit macht wieder ein neuer Email-Wurm namens "VBS/Loveletter.BD" die Runde. Dieser Scriptvirus basiert auf den VBS.LoveLetter und breitet sich über die Windows-Emailprogramme aus. Es sind nur solche Emailsysteme betroffen, die aktive Inhalte ausführen können oder dürfen. Der Wurm benutzt selbst die Automatisierungsfähigkeiten von Outlook und ähnelt in seiner Verbreitungsmethode dem Melissa-Virus. Nur werden im Gegensatz zum Melissa-Virus alle Kontaktadressen aus Outlook als Empfänger herangezogen.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


VBS.LoveLetter.CM

Kurzinformationen

Virusname:	VBS.LoveLetter.CM

Alias:	VBS.LoveLetter.C

Viren Typ:	Virus

Dateigröße:	17.245 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Datum:	01.06.2001

Schaden:	medium

Verbreitung:	high!

Allgemeine Beschreibung:

Der Wurm verbreitet sich über das Email Programm Outlook von Microsoft. Er versendet sich an alle im Adressbuch eingetragenen Kontakte.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


VBS.NEWLOVE

Kurzinformationen

Virusname:	VBS.NEWLOVE

Viren Typ:	Email-Wurm

Dateigröße:	variiert

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Datum:	19.05.2000

Schaden: 	low

Verbreitung:	low

Allgemeine Beschreibung:

Zur Zeit macht wieder ein Email-Wurm namens "NewLove" die Runde. Durch eine destruktivere Schadensroutine verursacht dieser Email-Wurm einen weitaus größeren Schaden als seine Vorgänger aus der ILOVEYOU-Familie.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


VBS/Caroline.B

Kurzinformationen

Virusname:	VBS/Caroline.B

Alias:	VBS/Australia.jpeg.vbs

Viren Typ:	Wurm

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Datum:	16.02.2001

Schaden:	low

Verbreitung:	low

Allgemeine Beschreibung:

Dieser Wurm kopiert sich nach dem Ausführen in das C:\WINDOWS\SYSTEM\ -Verzeichnis und erstellt einen RUN - Eintrag in die Registry.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


VBS/HomePage.1

Kurzinformationen

Virusname:	VBS/HomePage.1

Alias:	VBS/SST.gen@MM

Viren Typ:	VBScript Wurm

Dateigröße:	variiert

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Datum:	15.05.2001

Schaden:	low

Verbreitung:	low

Allgemeine Beschreibung:

Dieser Wurm verbreitet sich über Microsoft Outlook und Outlook Express, indem er das Outlook Adressbuch öffnet und sich an alle Email - Adressen versendet, die angelegt worden sind.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


VBS/Lee-ATX

Kurzinformationen

Virusname:	VBS/Lee-ATX

Alias:	VBS/Anthrax

Viren Typ:	Virus

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Datum:	22.10.2001

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Der Wurm VBS/Lee-ATX verbreitet sich via Email über Outlook mit Hilfe des Outlook -Adressbuches oder über die Chatprogramme mIRC bzw. PIRCH. Desweiteren überschreibt er alle Dateien mit den Extensions VBS und VBE mit seinem eigenen Viruscode.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


VBS/NeueTarife

Kurzinformationen

Virusname:	VBS/NeueTarife

Alias:	VBS/VBSWG.K@MM

Viren Typ:	VBScript Virus

Dateigröße:	7.396 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	Deutschland

Datum:	16.02.2001

Schaden:	low

Verbreitung:	low

Allgemeine Beschreibung:

Die Variante "Neue Tarif.txt.vbs" erstellt im C:\MIRC Verzeichnis eine Datei mit dem Namen SCRIPT.INI und kopiert sich dann nach C:\WINDOWS\Neue Tarife.txt.vbs. Danach trägt er sich in den RUN - Eintrag der REGISTRY

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


VBS/SST.A

Kurzinformationen

Virusname:	VBS/SST.A

Viren Typ:	VBScript Virus

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Datum:	13.02.2001

Schaden:	low

Verbreitung:	low

Allgemeine Beschreibung:

Der Wurm VBS/SST.A wurde in Visual Basic Script (VBS) geschrieben und arbeitet mit dem Windows Scripting Host (WSH). WSH wird üblicherweise mit IE5 bzw. diversen Service Paks installiert.

Der Wurm versendet sich per Email und hat das Attachment AnnaKournikova.jpg.vbs angehängt. Dieser Dateianhang sieht auf den ersten Blick wie ein Bilddatei und wird von vielen Usern unbedacht geöffnet werden. Die Dateinmanserweiterung ".vbs" wird üblicherweise NICHT angezeigt, da im Explorer in den Einstellungen die Option "Dateinamenerweiterung bei bekannten Dateitypen ausblenden" standardmäßig angewählt ist.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


VBS/Staple.A

Kurzinformationen

Virusname:	VBS/Staple.A

Alias:	VBS/Staple.a@MM

Viren Typ:	VBScript Wurm

Dateigröße:	12.992 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	Middle East

Datum:	21.03.2001

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

VBS/Staple.A ist ein VBS (Visual Basic Script) Wurm und versendet sich mit Hilfe von Microsoft Outlook an die ersten 50 Emailadressen, die im Outlook Adressbuch stehen.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


VBS/Vierika

Kurzinformationen

Virusname:	VBS/Vierika

Alias:	VBS/Vierika@MM

Viren Typ:	VBScript Wurm

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	Italy

Datum:	14.03.2001

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Der Wurm VBS/Vierika ist ein Internet-Wurm und wurde in mit Visual Basic Script programmiert. Dieser Wurmcode wurde direkt in das HTML Dokument Vindex2.html implementiert und auf einer Webseite von GeoCities bereitgestellt. VBS/Vierika führt sich automatisch mit dem Aufruf dieser HTML Seite aus.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


VGen

AntiVir findet bei einem VGen-Virus nur eine Virensignatur. Dies bedeutet, daß hier aller Wahrscheinlichkeit nach virulenter Code gefunden wurde. Um hier auf Nummer sicher zu gehen, bitten wir Sie, uns die Dateien, die von AntiVir mit einem VGen-Virus erkannt wurden, ins Haus zu schicken.

Da bei VGen-Viren nur eine Virensignatur gefunden wird, können diese Dateien von AntiVir leider auch nicht repariert werden.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Victor

Kurzinformationen

Art:	speicherresidenter COM- und EXE- Infektor

Länge:	2442 bis 2458 Byte

Allgemeine Beschreibung:

Der Virus zerstört in den Zeiten von 9.00-10.00, von 11.00-12.00, von 13.00-14.00 sowie von 15.00-16.00 Uhr Dateien im jeweils aktuellen Verzeichnis. Der Viruscode enthält den Text:

Victor V1.0 The incredible high Performance Virus Enhanced versions available soon. This program was imported from USSR. Thanks to Ivan.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Vienna

Kurzinformationen

Alias:	DOS-62, Blue Danube, Wiener, P, Unesco, Austrian

Art: 	Nicht residenter .COM Infektor

Länge: 	648 Bytes

Allgemeine Beschreibung:

Der Vienna-Virus ist ein sehr primitiver, aber dennoch effektiver Virus. Er zerstört unter bestimmten Bedingungen Dateien, und zwar immer dann, wenn beim Infektionsversuch die letzten 3 Bits der Systemzeit gerade auf 0 gesetzt sind. Bei manchen Versionen macht Vienna bei einem von acht Infektionsversuchen die zu infizierende Datei unbrauchbar, die neu infizierte Datei ist vollständig 'geschrottet'.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Vriest

Kurzinformationen

Art:	Residenter .COM Infektor

Länge:	1280 Bytes

Allgemeine Beschreibung:

Verlängert Dateien um 1280 Bytes. Am 3.5.1991 wird folgender Text auf dem Bildschirm angezeigt:

Something's coming up ...

Dann folgt ein Sirenenton, anschließend scrollt der Bildschirm hoch und es wird angezeigt:

Vriest of g greats Vic ear Moeli~

Der Virus bedient sich des Betriebsystemes, um sich resident zu installieren. Er belegt im Speicher 1584 Bytes und infiziert Dateien nicht, wie sonst üblich, etwa beim Laden einer .COM Datei - nein, er infiziert sie beispielsweise beim COPY-Vorgang.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


W32.Kriz

Kurzinformationen

Virusname:	W32.Kriz

Viren Typ:	Virus

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Datum:	22.12.2000

Schaden:	high!

Verbreitung:	medium

Allgemeine Beschreibung:

Der Virus W32.Kriz wird als .EXE-Datei versendet, verbreitet sich unter Windows 32-bit Systemen und infiziert .EXE-Dateien. Um als residenter Virus im Arbeitsspeicher verbleiben zu können, infiziert 'W32.Kriz' auch die KERNEL32.DLL.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


W32.TR.Worm/QAZ

Kurzinformationen

Virusname:	W32.TR.Worm/QAZ

Alias:	W32/QAZ.worm

Viren Typ:	Trojaner

Dateigröße:	120.320 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	Asia Region

Datum:	11.12.2000

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Der Wurm 'QAZ' ist eine ausführbare .EXE-Datei und breitet sich auf allen Windows 32-bit Systemen aus. Er wurde in der Programmiersprache C unter Visual C++ programmiert.

Wird der Wurm aktiviert, trägt er sich so in die Registry ein, damit er bei jedem Systemstart erneut ausgeführt wird.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


W32.Vote

Kurzinformationen

Virusname:	W32.Vote.a, b und c

Viren Typ:	Virus

Dateigröße:	55,808 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Datum:	24.09.2001

Schaden:	medium

Verbreitung:	low

Allgemeine Beschreibung:

Bei W32.Vote handelt es sich um einen Massenmailer, der in Visual Basic geschrieben wurde. Er verbreitet sich mit Hilfe von Microsoft Outlook, indem er sich an alle Emailadressen versendet, die im Adressbuch aufgeführt sind.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


W32/Apost.A

Kurzinformationen

Virusname:	W32/Apost.A

Alias:	Worm/Readme

Viren Typ:	Internetwurm

Dateigröße:	24.576 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Datum:	06.09.2001

Schaden:	low

Verbreitung:	low

Allgemeine Beschreibung:

W32/Apost ist einen Internetwurm, der in Visual Basic 6 programmiert  wurde. Er besitzt eine Größe von 24576 Bytes und versendet sich per Email mit Hilfe von Microsoft Outlook.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


W32/ExploreZip

Kurzinformationen

Virusname:	W32/ExploreZip

Alias:	Worm.Explore.Zip, Zipped Files, Troj.Explore.Zip

Viren Typ:	Trojanisches Pferd, Wurm

Dateigröße:	210.432 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Datum:	11.06.1999

Schaden:	high!

Verbreitung:	medium

Allgemeine Beschreibung:

Bekommen Sie eine Email mit dem Inhalt "Hi [Name des Email-Empfängers]! I received your Email and I shall send you a reply ASAP. Till then, take a look at the attached zipped docs. Bye", dann ist dies der Virus.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


W32/FBound.C

Kurzinformationen

Virusname:	W32/FBound.C

Viren Typ:	Wurm

Dateigröße:	12.288 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	Japan

Datum:	11.03.2002

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Beim W32/Fbound.C handelt es sich um einen Wurm, der sich mit Hilfe des Windows Adressbuches mit seiner eigenen SMTP-Engine als Email versendet.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


W32/Klez

Kurzinformationen

Virusname:	W32/Klez

Alias:	W32/Klez.gen@MM

Viren Typ:	Wurm

Dateigröße:	57.345 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	Asia

Datum:	26.10.2001

Schaden:	high!

Verbreitung:	medium

Allgemeine Beschreibung:

Der Virus W32/Klez wird als .EXE-Datei versendet, verbreitet sich unter Windows 32-bit Systemen und infiziert .EXE-Dateien. Um als residenter Virus im Arbeitsspeicher verbleiben zu können, infiziert 'W32/Klez' auch die KERNEL32.DLL..

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


W32/Naked

Kurzinformationen

Virusname:	W32/Naked

Viren Typ:	Virus

Dateigröße:	73.728 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	USA

Datum:	07.03.2001

Schaden:	high!

Verbreitung:	low

Allgemeine Beschreibung:

Der Internetwurm W32/Naked ist eine Win32-Anwendung, hat eine Länge von 73.728 Bytes (72KB) und wurde in Visual Basic geschrieben. Der Wurm versendet sich über Outlook.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


W32/Nimda

Kurzinformationen

Virusname:	W32/Nimda (W32/Nimda.eml)

Alias:	W32/Nimda.gen@MM

Viren Typ:	Wurm

Dateigröße:	57.344 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Datum:	18.09.2001

Schaden:	medium

Verbreitung:	medium

Allgemeine Beschreibung:

Bei dem Wurm W32/Nimda handelt es sich um einen Internet-Wurm, der sich als Massen-Mailer per Email versenden kann. Er kann auf allen Microsoft Windows 9x/Me und NT/2000 Plattformen ausgeführt werden.

Nimda verschickt sich selbst in einer Email als Attachment. Dieses Attachement trägt den Namen README.EXE, wobei die Dateinamenserweiterung .EXE standardmäßig nicht sichtbar ist.

Das Aussehen der Email ist unterschiedlich: Die Betreffszeile enthält einen zufälligen Text und der Body der Email ist zu meist leer. Werden Outlook oder Outlook Express eingesetzt, wird das Attachment selbst nicht in der Vorschau angezeigt.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


W32/Perrum

Kurzinformationen

Virusname:	W32/Perrum

Viren Typ:	Virus

Dateigröße:	11.780 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Schaden:	medium

Verbreitung:	low

Allgemeine Beschreibung:

Der W32/Perrum ist ein Windowsvirus, der .JPG Dateien infiziert. Er ist in Visual Basic programmiert und mit dem Laufzeitpacker UPX gepackt. Die virulente Datei PROOF.EXE droppt die zwei Dateien EXTRK.EXE und REG.MP3 in das selbe Verzeichnis und legt folgenden Registry Key an.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


W32/ProLin@mm

Kurzinformationen

Virusname:	W32/ProLin@mm

Viren Typ:	Virus

Dateigröße:	36.864 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Datum:	05.12.2000

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Der Internetwurm W32/ProLin@mm wurde in Visual Basic 6 geschrieben und versendet sich mit dem Attachment (Dateianhang) 'CREATIVE.EXE'. Als Icon enthält er das 'Shockwave Media Player' Symbol.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


W32/Yaha.E

Kurzinformationen

Virusname:	W32/Yaha.E

Alias:	I-Worm.Lentin.f

Viren Typ:	Virus

Dateigröße:	29.839 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Datum:	19.06.2002

Schaden:	medium

Verbreitung:	medium

Allgemeine Beschreibung:

W32/Yaha.E ist ein Massenmailer, der sich an alle Email-Adressen versendet, die im Microsoft Windows Adressbuch, in der MSN Messenger-, Yahoo Messenger- und der ICQ-Liste stehen. Ebenfalls durchsucht er alle Dateien mit der Dateinamenserweiterung .*HT*

nach Email-Adressen ab. Das Attachment einer Email des W32/Yaha.E besitzt die Dateinamenserweiterung .BAT, .PIF oder .SCR.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


W32/YAWsetup

Kurzinformationen

Virusname:	W32/YAWsetup

Viren Typ:	Wurm

Dateigröße:	437.760 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	Deutschland

Datum:	26.02.2002

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Dieser Wurm erreicht als eine gefälschte Newsletterausgabe von www.trojaner-info.de

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


W95.Hybris

Kurzinformationen

Virusname:	W95.Hybris

Viren Typ:	Internetwurm

Dateigröße:	25.088 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	South America

Datum:	01.12.2000

Schaden:	low

Verbreitung:	high!

Allgemeine Beschreibung:

Der Internet-Wurm verbreitet sich über den Attachment (Dateianhang) von Emails. Hybris ist ausschließlich auf WIN32 - Systemen (Windows95/98/ME/NT/2000) funktionsfähig und benutzt hierbei die WSOCK32.DLL Library. Der Wurm verschlüsselt seinen Wurmcode semipolymorph.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


W95/Begemont.B

Kurzinformationen

Virusname:	W95/Begemont.B

Alias:	Magistr

Viren Typ:	Virus

Dateigröße:	30 KB

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Datum:	20.03.2001

Schadensroutine:	 Alle EXE-Dateien im Windows-Systemverzeichnis  werden infiziert.

Schaden:	high!

Verbreitung:	medium

Allgemeine Beschreibung:

Der W95/Begemont.B ist ein Win32 Wurm, der eine Länge von 30 KB hat. Er wurde vermutlich teilweise in Assembler geschrieben. Wird dieser Virus ausgeführt, verbleibt er resident im Arbeitsspeicher. Er infiziert andere Windows .EXE Dateien sowohl lokal als auch über ein Netzwerk. W95/Begemont.B verbreitet sich über das Internet, indem er sich mit Hilfe von Outlook Express, Nescape Messenger oder Internet Mail and News er infizierte Dateien per Email verschickt.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


W95/CIH

Kurzinformationen

Virusname:	W95/CIH

Alias:	PE_CIH, CIH, Tschernobyl, Spacefiller

Viren Typ:	Virus

Dateigröße:	variiert

Betriebsysteme:	Microsoft Windows 95/ 98

Ursprung:	Taiwan

Datum:	10.08.1998

Schaden:	high!

Verbreitung:	medium

Allgemeine Beschreibung:

W95/CIH ist ein residenter Virus, der Windows-Programme (PE-Dateien) befällt. Er infiziert PE-Dateien derart, daß die Länge infizierter Dateien nicht verändert wird. Anhand der Kenntnisse über unbenutzte Bereiche innerhalb dieser PE-Dateien kann er sich in mehrere Teile aufteilen. W95/CIH enthält destruktive Schadensroutinen: Überschreiben des BIOS im Flash-ROM und Überschreiben aller Festplatten.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


W95/MTX

Kurzinformationen

Virusname:	W95/MTX

Alias:	Iworm_MTX, I-Worm.MTX, Matrix

Viren Typ:	Internet Wurm

Dateigröße:	18.483 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	Deutschland

Datum:	09.11.2000

Schaden:	medium

Verbreitung:	medium

Allgemeine Beschreibung:

Der MTX - Wurm besteht aus drei Komponenten : Virus, Email-Wurm, und Backdoor. Der Virus läuft auf allen Win32 - Systemen ( Windows 9x, Windows NT, Windows 2000). Er infiziert .EXE und .DLL Dateien, sendent Emails mit einem infizierten Attachment ( Dateianhang ) und installiert Backdoor-Module, um Plugins von einem Server zu hohlen und zu aktivieren, auf ihren PC.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


W97M/Resume.A

Kurzinformationen

Virusname:	W97M/Resume.A

Alias:	W97M.Melissa.BG

Viren Typ:	Macrovirus

Dateigröße:	41.472 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Datum:	28.05.2000

Schadensroutine:	Löscht Systemdateien

Schaden:	high!

Verbreitung:	low

Allgemeine Beschreibung:

Der Wurm selbst versteckt sich in einem MS Word Dokument. Beim öffnen des Attachments verschickt sich der Wurm an alle Adressen im Outlook Adressbuch.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Whale

Kurzinformationen

Alias:	Motherfish, Z the wahle

Länge:	9216 Bytes

Art:	Residenter .COM und .EXE Infektor

Ähnlichkeiten:	Fish

Allgemeine Beschreibung:

Einer der größten wie auch ungefährlichsten Viren überhaupt. Eine Infektion wird sofort erkannt, da sich die Rechnerleistung auf einen Wert vermindert, der ein sinnvolles Arbeiten verhindert und sich Bildschirmausgaben endlos in die Länge ziehen. In aller Regel stürzen infizierte Programme sofort ab. Durch die sofortige Entdeckung mit nachfolgender Beseitigung tritt meist kein ernsthafter Schaden auf.

Bei resident aktivem Virus darf kein "CHKDSK /F" ausgeführt werden, da der Virus durch Stealth-Techniken seine Anwesenheit zu verschleiern versucht. In diesem Fall würden Dateien geschädigt. Gut vier Fünftel des Codes des Virus sind Debuggerfallen, um ein Disassembly des Codes zu erschweren. Vermutlicherweise wurde der Virus von zwei Programmierern geschrieben: einer war für die Assembler-Sachen (die Selbstverschlüsselung und Verschlüsselungs-/Entschlüsselungsteile), ein anderer für die sonstigen Routinen zuständig, die hauptsächlich in Hochsprache geschrieben wurden. Dieser Virus bekam das Attribut 'armoured', was soviel wie 'bewaffnet' bedeutet. Die merkliche Zeitverzögerung bei aktivem Virus ist eine direkte Folge dieser 'Bewaffnung': sie kostet Prozessorzeit. Ist der Virus aktiv, liegen immer nur Teile des Programmcodes in lauffähiger Form vor, da diese Teile vor einem Ausführen erst ent- und nach Ausführung wieder verschlüsselt werden, bevor ein neuer Teil wieder ent- und verschlüsselt wird.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Wiener

Kurzinformationen

Alias:	DOS-62, Blue Danube, Vienna, P, Unesco, Austrian

Art: 	Nicht residenter .COM Infektor

Länge: 	648 Bytes

Allgemeine Beschreibung:

Der Wiener Virus ist ein sehr primitiver, aber dennoch effektiver Virus. Er zerstört unter bestimmten Bedingungen Dateien und zwar immer dann, wenn beim Infektionsversuch die letzten 3 Bits der Systemzeit gerade auf 0 gesetzt sind. Bei manchen Versionen macht der Virus bei einem von acht Infektionsversuchen die zu infizierende Datei unbrauchbar, die neu infizierte Datei ist vollständig 'geschrottet'.

Eine Eigenart des Wiener Virus ist, daß er nur Dateien im aktuellen Pfad und im aktuellen Unterverzeichnis infiziert bzw. löscht. Setzt man also 'PATH = C:\TEST' und arbeitet in diesem leeren Directory TEST, so kann der Virus zwar keine Dateien mehr infizieren, man selbst kann aber meist auch nicht mehr sehr effizient arbeiten.

Da der Wiener-Virus ab und zu Dateien zerstört, ist bei der Entfernung dieser zerstörten Dateien mit dem Reparaturprogramm AntiVir im GURU-Modus darauf zu achten, daß nicht versehentlich Datendateien gelöscht werden. AntiVir kann nicht entscheiden, ob die ersten fünf Bytes einer Restart-Sequenz (JMP FFFF:00F0) ein gültiges - und gewolltes - Neustart-Programm darstellen, oder eine durch eine vom Virus hergestellte Zerstörung vorliegt. Dies müssen Sie selbst entscheiden. Ganz schwierig wird die Sache, wenn der Virus 'manchmal' anstelle der Sprunginstruktion von oben fünf NOPs in die Datei hineinschreibt.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


WinWord.Concept

Kurzinformationen

Alias:	WW6Macro

Art:	Makro-Virus

Allgemeine Beschreibung:

Dieser "Virus" ist ein reiner Makro-Virus, der Dokumentendateien (DOC) verändert. WinWord.Concept nutzt die ausführlich dokumentierte Makrosprache WinBasic des Applikationsprogrammes Word für Windows. Der "Virus" selbst enthält keine direkten Prozessorbefehle, sondern besteht nur aus reinen Makros.

Sofort beim Öffnen einer mit diesen Makros versehene Dokumentendatei wird das Makro AutoOpen ausgeführt. Der "Virus" hat somit erst einmal die Kontrolle erhalten, da ein Makro aus der dem aktiven Dokument zugewiesenen Dokumentenvorlage die größte Priorität hat - und das Dokument ist die Vorlage selbst! Er verändert die globale Vorlagendatei, üblicherweise ist dies die Datei NORMAL.DOT. Eine Meldung (Message-Box) erscheint und gibt die Zahl "1" aus:

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


WitCode

Kurzinformationen

Art: 	.EXE-Infektor

Länge: 	974 Bytes

Allgemeine Beschreibung:

Der Virus holt sich vom Betriebssystem ca. 1,5 KB Speicher und kopiert sich in diesen freien Speicher. Der MCB dieses PSP wird derart verändert, daß er wie ein Teil des aktiven Kommandointerpreters aussieht. Beim Beenden eines Programmes werden anhand verschiedener Werte der Systemuhr diverse Meldungen ausgegeben. Am 24. Dezember gibt es Weihnachtsglückwünsche und jeden Sonntag erscheint die Meldung:

You really shouldn't work on Sundays...

Ausgehend von der Art des installierten Prozessors beschwert sich der Virus über einen zu langsamen Rechner:

Gee, I wanna sleep now!

Besitzer schneller Rechner beglückwünscht er:

You got a fine machine!

Abhängig von der Systemuhr ändert WitCode an Montagen und an jedem Freitag den 13. den Bootsektor in der Weise, daß folgende Neustarts in einer Endlosschleife im Bootsektor hängenbleiben.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Anacon

Kurzinformationen

Virusname:	Worm/Anacon

Alias:	W32.Naco.B@mm, Nocana.b

Viren Typ:	Internet Wurm

Dateigröße:	86.016 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	~

Datum:	26.05.2003

Schadensroutine:	Massenmailer, DoS Angriffe, Backdoor

VDF Version:	6.19.00.21

Schaden:	medium

Verbreitung:	low

Allgemeine Beschreibung:

Bei Worm/Anacon handelt es sich um einen Massenmailer. Er hat eine Dateigröße von 86.016 Bytes und wurde in Microsoft Virsual Basic (VB) programmiert. Somit benötigt der Wurm immer die VB Runtime Libraries um seinen virulenten Code auszuführen.

Worm/Anacon kann sich über P2P File-Sharing Netzwerke wie KaZaA, Morpheus, Edonkey2000 usw. verbreiten und besitzt auch eine Backdoor Routine. Er ist in der Lage eine Reihe von aktiven Prozessen zu beenden, die er als Firewall- oder Antivirensoftware identifiziert.

Symptome:

Vorhandensein bestimmter Dateien und Registry Einträge (siehe Webseite)

Infektionsweg:

P2P File-Sharing Netzwerke wie KaZaA, Morpheus, Edonkey2000 usw.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Anset.B

Kurzinformationen

Virusname:	Worm/Anset.b

Alias:	W32/Anset@MM W32.Anset.Wourm

Viren Typ:	Wurm

Dateigröße:	179.712 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	Deutschland

Datum:	25.10.2001

Allgemeine Beschreibung:

Der Wurm Worm/Anset.b hat eine Größe von 179.712 Bytes und ist UPX gepackt. Er versendet sich mit Hilfe einer eigenen SMTP-Komponente.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Aphex

Kurzinformationen

Virusname:	Worm/Aphex

Alias:	W32/Aplore.A

Viren Typ:	Wurm

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Datum:	10.04.2002

Schaden:	medium

Verbreitung:	medium

Allgemeine Beschreibung:

Worm/Aphex ist ein Massenmailer, der sich über Email, IRC oder den AOL Instant Messenger (AIM) verbreiten kann. Er versendet sich als Email über Microsoft Outlook mit Hilfe des Outlook Adressbuchs. Eine vom Worm/Aphex versandte Email sieht folgendermaßen aus:

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Avril.A

Kurzinformationen

Virusname:	Worm/Avril.A

Alias:	Worm/Naith.A

Viren Typ:	Internet Wurm

Dateigröße:	32.766 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	~

Datum:	07.01.2003

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Eine allgemeine Virenbeschreibung ist zu diesem Virus  nicht vorhanden..

Symptome:

Am 7. und 24. eines Monats wird ein Bild auf dem Windows Desktop angezeigt und die URL http://www.avril-lXXXXXe.de/ mit dem Standard Browser aufgerufen.

Beendet laufende Prozesse bzw. Anwendungen verschiedener Antiviren Software und Firewalls.

Infektionsweg:

Worm/Avril.A verbreitet mit seiner eigenen SMTP Engine per Email und dem IRC-Programm mIRC.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Avril.B

Kurzinformationen

Virusname:	Worm/Avril.B

Alias:	Worm/Naith.B

Viren Typ:	Internet Wurm

Dateigröße:	34.815 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	~

Datum:	07.01.2003

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Eine allgemeine Virenbeschreibung ist zu diesem Virus  nicht vorhanden..

Symptome:

Am 7. und 24. eines Monats wird ein Bild auf dem Windows Desktop angezeigt und die URL http://www.avril-lXXXXXe.de/ mit dem Standard Browser aufgerufen:

Beendet laufende Prozesse bzw. Anwendungen verschiedener Antiviren Software und Firewalls.

Infektionsweg:

Worm/Avril.B versendet sich mit Hilfe seiner eigenen SMTP Engine per Email.

Er verbreitet sich mit dem IRC-Programm mIRC, ICQ, dem Filesharing-Programm KaZaA und verknüpften Netzlaufwerken.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Badtrans

Kurzinformationen

Virusname:	Worm/Badtrans

Alias:	W32/BadTrans@MM

Viren Typ:	Wurm

Dateigröße:	13.312 Bytes A variant

29.020 Bytes B variant

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Datum:	26.04.2001

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Bei dem Internetwurm Badtrans handelt es sich um eine Win32 Anwendung, welche sich mit Hilfe von Emails über Microsoft Outlook oder Outlook Express verbreitet. Der Wurm versendet ein infiziertes Attachment (PE EXE Datei), welches eine Wurm- und eine Trojanerkomponente beinhaltet.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Badtrans.B

Kurzinformationen

Virusname:	Worm/Badtrans.B

Alias:	W32/BadTrans@MM

Viren Typ:	Wurm

Dateigröße:	13,312 Bytes A variant

 	29,020 Bytes B variant

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Datum:	27.11.2001

Allgemeine Beschreibung:

Badtrans.B ist ein Wurm, der sich über Email mit Hilfe von MAPI (Messaging Application Program Interface) versendet. Der Name des Attachments setzt sich aus den folgenden drei Teilen zusammen, die in zufälliger Reihenfolge einer Liste entnommen werden:

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Bagle.A

Kurzinformationen

Virusname:	Worm/Bagle.A

Alias:	W32.Beagle.A@mm, I-Worm.Bagle, WORM_BAGLE.A

Viren Typ:	Wurm

Dateigröße:	15.872 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	unbekannt

Datum:	18.01.2004

Schadensroutine:

VDF Version:	6.23.00.34

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Worm/Bagle.A ist ein Email-Wurm mit einer Größe von 15.872 Bytes. Er kopiert sich ins Windows System Verzeichnis, durchsucht lokale

Festplatten nach Email-Adressen und verschickt sich an diese. Worm/ Bagle.A ist nur bis zum 28. Januar 2004 aktiv.

Symptome:

Nach Aufruf des Wurmes, wird der Windows Taschenrechner ausgeführt.

Infektionsweg:

Email Versand

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Bagle.AA

Kurzinformationen

Virusname:	Worm/Bagle.AA

Alias:	W32.Beagle.Z@mm,

Viren Typ:	Wurm

Dateigröße:	20.767 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP/Server 2003

Ursprung:	unbekannt

Datum:	28.04.2004

Schadensroutine:	Emailversand

VDF Version:	6.25.00.38

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Worm/Bagle.AA hat eine Dateigröße von 20.767 Bytes und kopiert sich als DRVDDLL.EXE in das Windows-Systemverzeichnis.

Symptome:

Nach dem Ausführen wird folgende MessageBox angezeigt:

Can't find viewer associated with the file

[OK]

Infektionsweg:

Emailversand

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Bagle.AM

Kurzinformationen

Virusname:	Worm/Bagle.AM

Viren Typ:	Wurm

Dateigröße:	17.924 Bytes

Betriebsysteme:	Microsoft Windows 95/98/ME/NT/2000/XP

Datum:	01.09.2004

Schadensroutine:	Verschickt die Trojanerversion TR/Bagle.AL per Email

VDF Version:	6.27.00.43

Schaden:	medium

Verbreitung:	medium

Allgemeine Beschreibung:

Nachdem der Wurm gestartet wurde er zeugt er folgenden Registry Eintrag:

[HKEY_CURRENT_USER\Software\Microsoft\Windows\Cu rrentVersion\Run]
"erthgdr"="C:\\WINDOWS\\System32\\windll.exe"

Außerdem löscht er folgende Einträge:

[HKLM\Software\Microsoft\Windows\CurrentVersion\ Run]
"My AV" in key "
"Zone Labs Client Ex"
"9XHtProtect" in key "
"Antivirus" in key "
"Special Firewall Service" in key "
"service" in key "
"Tiny AV" in key "

Kopien seiner selbst werden im Systemverzeichnis erstellt:

%sysdir%\windll.exe

%sysdir%\windll.exeopenopen

%sysdir%\windll.exeopen

Dieser Wurm sucht nach email Adressen auf dem System und verschickt eine Email an diese. Der Dateianhang dieser Email wurde bereits in der Virenbeschreibung TR/Bagle.AL beschrieben.

Außerdem kopiert sich der Wurm unter 19 verschiedenen Dateienamen in alle Verzeichnisse die den String "shar" enthalten. Dies stellt sicher, dass die Wurmdatei in verschiedenen P2P Tauschbörsen angeboten wird.

Symptome:

Vorhandensein verschiedener Dateien und Registry-Einträge

Infektionsweg:

Emailversand

File-Sharing-Programme

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Bagle.AN

Kurzinformationen

Virusname:	Worm/Bagle.AN

Viren Typ:	Wurm

Dateigröße:	18.436 Bytes

Betriebsysteme:	Microsoft Windows 95/98/ME/NT/2000/XP

Datum:	01.09.2004

Schadensroutine:	Verschickt die Trojanerversion TR/Bagle.AK per Email

VDF Version:	6.27.00.43

Schaden:	medium

Verbreitung:	medium

Allgemeine Beschreibung:

Nachdem der Wurm gestartet wurde er zeugt er folgenden Registry Eintrag:

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"erthgdr"="C:\\WINDOWS\\System32\\windll.exe"

Außerdem löscht er folgende Einträge:

[HKLM\Software\Microsoft\Windows\CurrentVersion\ Run]
"My AV" in key "
"Zone Labs Client Ex"
"9XHtProtect" in key "
"Antivirus" in key "
"Special Firewall Service" in key "
"service" in key "
"Tiny AV" in key "

Kopien seiner selbst werden im Systemverzeichnis erstellt:

%sysdir%\windll.exe

%sysdir%\windll.exeopenopen

%sysdir%\windll.exeopen

Dieser Wurm sucht nach email Adressen auf dem System und verschickt eine Email an diese. Der Dateianhang dieser Email wurde bereits in der Virenbeschreibung TR/Bagle.AK beschrieben.

Außerdem kopiert sich der Wurm unter 19 verschiedenen Dateienamen in alle Verzeichnisse die den String "shar" enthalten. Dies stellt sicher, dass die Wurmdatei in verschiedenen P2P Tauschbörsen angeboten wird.

Symptome:

Vorhandensein verschiedener Dateien und Registry-Einträge

Infektionsweg:

Emailversand

File-Sharing-Programme

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Bagle.AT

Kurzinformationen

Virusname:	Worm/Bagle.AT

Alias:	I-Worm.Bagle.AT, Bagle.BC

Viren Typ:	Wurm

Dateigröße:	~ 18 - 23 KBytes

Betriebsysteme:	Microsoft Windows 95/98/ME/NT/2000/XP/Server 2003

Datum:	29.10.2004

Schadensroutine:	Emailversand, P2P-Verbreitung, Durchsucht das System nach Emailadressen

VDF Version:	6.28.00.45

Schaden:	low

Verbreitung:	high!

Allgemeine Beschreibung:

Wird der Worm/Bagle.AT ausgeführt erstellt er folgende Dateien im Windows Systemverzeichnis:

\%SystemDir%\WINGO.EXE

\%SystemDir%\WINGO.EXEOPEN

\%SystemDir%\WINGO.EXEOPENOPEN

und erstellt folgenden Eintrag in der Windows Registry:

HKEY_CURRENT_USER\ SOFTWARE\ Microsoft\Windows\CurrentVersion\Run\
wingo= \%Systemdir%\wingo.exe

Worm/Bagle.AT ist in der Lage Prozesse, die den folgenden Namen besitzen, zu beenden:

alogserv.exe, APVXDWIN.EXE, ATUPDATER.EXE, AUPDATE.EXE, AUTODOWN.EXE, AUTOTRACE.EXE, AUTOUPDATE.EXE, Avconsol.exe, AVENGINE.EXE, AVPUPD.EXE, Avsynmgr.exe, AVWUPD32.EXE, AVXQUAR.EXE, blackd.exe, ccApp.exe, ccEvtMgr.exe, ccProxy.exe, ccPxySvc.exe, CFIAUDIT.EXE, DefWatch.exe, DRWEBUPW.EXE, ESCANH95.EXE, ESCANHNT.EXE, FIREWALL.EXE, FrameworkService.exe, ICSSUPPNT.EXE, ICSUPP95.EXE, LUALL.EXE, LUCOMS~1.EXE, mcagent.exe, mcshield.exe, MCUPDATE.EXE, mcvsescn.exe, mcvsrte.exe, mcvsshld.exe, navapsvc.exe, navapw32.exe, NISUM.EXE, nopdb.exe, NPROTECT.EXE, NUPGRADE.EXE, OUTPOST.EXE, PavFires.exe, pavProxy.exe, pavsrv50.exe, Rtvscan.exe, RuLaunch.exe, SAVScan.exe, SHSTAT.EXE, SNDSrvc.exe, symlcsvc.exe, UPDATE.EXE, UpdaterUI.exe, Vshwin32.exe, VsStat.exe and VsTskMgr.exe.

Worm/Bagle.AT lädt von einer Webseite die Datei G.JPG nach.

Worm/Bagle.AT öffnet den TCP Port 81 und wartet auf einen Verbindungsaufbau.

Worm/Bagle.AT hat zwei Verbreitungswege. Der Versand von Emails mit Hilfe seiner eigenen SMTP Engine und üer Peer-To-Peer (P2P) Netwerke. Hierzu sucht auf dem System nach Verzeichnisse die den Textstring "SHAR" enthalten und kopiert sich in diese mit verschiedenen Dateinamen.

Um sich als Email zu versenden, durchsucht der Wurm das System nach Dateien mit folgenden Dateierweiterung:

ADB, ASP, CFG, CGI, DBX, DHTM, EML, HTM, JSP, MBX, MDX, MHT, MMF, MSG, NCH, ODS, OFT, PHP, PL, SHT, SHTM, STM, TBB, TXT, UIN, WAB, WSH, XLS und XML

Sollte eine Emailadresse allerdings eine der folgenden Textbausteine aufweisen, wird diese vom Worm/Bagle.AT nicht beachtet:

@avp., @foo, @hotmail, @iana, @messagelab, @microsoft, @msn, abuse, admin, anyone@, bsd, bugs@, cafee, certific, contract@, feste, free-av, f-secur, gold-certs@, google, help@, icrosoft, info@, kasp, linux, listserv, local, news, nobody@, noone@, noreply, ntivi, panda, pgp, postmaster@, rating@, root@, samples, sopho, spam, support, unix, update, winrar, winzip.

Symptome:

Vorhandensein verschiedener Dateien und Registry-Einträge

Infektionsweg:

Emailversand

File-Sharing-Programme

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Bagle.B

Kurzinformationen

Virusname:	Worm/Bagle.B

Alias:	W32.Alua@mm

Viren Typ:	Wurm

Dateigröße:	11.264 Bytes (UPX)

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	unbekannt

Datum:	17.02.2004

Schadensroutine:	Emailversand mit eigener SMTP Engine

VDF Version:	6.24.00.07

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Worm/Bagle.B hat eine Dateigröße von  11.264 Bytes und ist mit dem Laufzeitpacker UPX gepackt. Er kopiert sich ins Windows Systemverzeichnis mit dem Dateinamen AU.EXE und durchsucht Dateien auf der lokale Festplatte nach Emailadressen, an die er sich mit Hilfe seiner eigenen SMTP-Engine versendet.

Symptome:

Beim Aufruf wird eine Grafik im Internet Explorer angezeigt.

Infektionsweg:

Emailversand

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Bagle.C

Kurzinformationen

Virusname:	Worm./Bagle.C

Alias:	W32.Beagle.C@mm; W32/Bagle.c@MM; W32/Bagle.C; I-Worm.Bagle.C; W32/Bagle.C@mm

Viren Typ:	Wurm

Dateigröße:	28.160 Bytes oder  15.872 Bytes (UPX gepackt)

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	unbekannt

Datum:	28.02.2004

Schadensroutine:	Versendet sich als Email

VDF Version:	6.24.00.23

Schaden:	low

Verbreitung:	high!

Allgemeine Beschreibung:

Dieser Wurm verschickt sich wie schon seine Vorgänger an Email Adressen welche er auf dem System findet.

Symptome:

Offener TCP Port 2745

Vorhandensein bestimmter Dateien und Registry Einträge (siehe Webseite)

erhöhter Email-Traffic

Infektionsweg:

Emailversand mit Hilfe seiner eigenen SMTP Engine

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Bagle.F
Worm./Bagle.F

Kurzinformationen

Virusname:	Worm./Bagle.F

Alias:	W32.Beagle.A@mm, Win32.Bagle.Gen@mm, I- Worm.Bagle.f

Viren Typ:	Wurm

Dateigröße:	~24KB (PEX packed)

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	unbekannt

Datum:	29.02.2004

Schadensroutine:	Versendet sich als Email

VDF Version:	6.24.00.27

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Dieser Wurm verschickt sich wie schon seine Vorgänger an Email-Adressen welche er auf dem System findet. Diese Variante versucht außerdem sich über P2P-Tauschbörsen zu verbreiten.

Symptome:

Offener TCP Port 2745

Vorhandensein bestimmter Dateien und Registry Einträge (siehe Webseite)

erhöhter Email-Traffic

Infektionsweg:

Emailversand mit Hilfe seiner eigenen SMTP Engine

P2P Tauschbörsen

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Bagle.H

Kurzinformationen

Virusname:	Worm./Bagle.H

Alias:	W32.Beagle.H@mm, Win32.Bagle.Gen@mm, I- Worm.Bagle.H

Viren Typ:	Wurm

Dateigröße:	~21KB (Pex gepackt)

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP/Server 2003

Ursprung:	unbekannt

Datum:	01.03.2004

Schadensroutine:	Versendet sich als Email

VDF Version:	6.24.00.32

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Dieser Wurm verschickt sich wie schon seine Vorgänger an Email-Adressen welche er auf dem System findet. Diese Variante versucht außerdem sich über P2P-Tauschbörsen zu verbreiten.

Symptome:

Offener TCP Port 2745

Vorhandensein bestimmter Dateien und Registry Einträge (siehe Webseite)

erhöhter Email-Traffic

Infektionsweg:

Emailversand mit Hilfe seiner eigenen SMTP Engine

P2P Tauschbörsen

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Bagle.J

Kurzinformationen

Virusname:	Worm/Bagle.J

Alias:	W32/Bagle.j@MM, W32.Beagle.J@mm, W32/Bagle-J, Bagle.J, W32/Beagle.J@mm

Viren Typ:	Wurm

Dateigröße:	12.288 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP/Server 2003

Ursprung:	unbekannt

Datum:	02.03.2004

Schadensroutine:	Versendet sich per Email

VDF Version:	6.24.00.35

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Dieser Wurm verschickt sich wie schon seine Vorgänger an Email-Adressen welche er auf dem System findet.

Symptome:

Offener TCP Port 2745

Vorhandensein bestimmter Dateien und Registry Einträge (siehe Webseite)

erhöhter Email-Traffic

Infektionsweg:

Emailversand mit Hilfe seiner eigenen SMTP Engine

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Bagle.U

Kurzinformationen

Virusname:	Worm/Bagle.U

Alias:	W32.Beagle.U@mm, I-Worm.Bagle, WORM_BAGLE.U

Viren Typ:	Wurm

Dateigröße:	8.208 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP/Server 2003

Ursprung:	unbekannt

Datum:	26.03.2004

Schadensroutine:	Emailversand

VDF Version:	6.23.00.71

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Worm/Bagle.U hat eine Dateigröße von 8.208 Bytes und kopiert sich als GIGABIT.EXE in das Windows Systemverzeichnis. Die versandten Emails des Wurmes haben keinen Text im Subject und Body.

Symptome:

Nach dem Aufruf des Wurmes, wird das Windows Spiel "Hearts" ausgeführt.

Infektionsweg:

Email Versand

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Bagz.A

Kurzinformationen

Virusname:	Worm/Bagz.A

Alias:	I-Worm.Bagz.a, W32/Bagz.a@MM, W32/Bagz-A, W32/Bagz.A.worm

Viren Typ:	Wurm

Dateigröße:	172.034 Bytes

Betriebsysteme:	Microsoft Windows 9x/ME/NT/2000/XP/Server 2003

Datum:	29.09.2004

Schadensroutine:	Versendet sich als Email, Nachladen von Dateien, Deaktivieren der Firewall

VDF Version:	6.27.0.80

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Worm/Bagz.A ist ein Massenmailer, der seine eigene SMTP Engine nutzt um sich selbst an die Emailadressen zu versenden, die er auf dem infizierten Systemen findet.

Nachdem der Wurm ausgeführt wurde legt er die folgende Einträge in der Windows Registry an:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
"syslogin.exe" = "syslogin.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NDISRD\

Der Wurm erstellt folgende Dateien:

\%SystemDIR%\syslogin.exe

\%SystemDIR%\tutorial.zip

\%SystemDIR%\dl.exe

und eine Kopie von sich selbst im System bzw. System32 Verzeichnis:

\%SystemDIR%\tutorial.doc<%div.Leerzeichen%> .exe

Nachdem Worm/Bagz.A seine Dateien 'abgelegt' hat, deaktiviert er die Windows Firewall in dem er den folgenden Befehl ausführt:

"netsh firewall ipv4 set opmode | mode=disable"

Danach werden Dateien von dem Wurm heruntergeladen und ausgeführt. Der Wurm installiert seinen eigenen Netzwerktreiber um die lokale Firewall zu umgehen.

Anschließend durchsucht der Wurm das System nach Emailadressen und speichert diese, wie auch die aktuelle IP Adresse des infizierten Computers

und das Email-Gateway, in den folgenden temporären Dateien:

\%SystemDIR%\ipdb.dll

\%SystemDIR%\jobdb.dll

\%SystemDIR%\wdate.dll

Infektionsweg:

Worm/Bagz.A versendet sich selbst oder ein ZIP Archiv an die Emailadressen, die er auf dem infizierten System gefunden hat.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Bagz.B

Kurzinformationen

Virusname:	Worm/Bagz.B

Alias:	I-Worm.Bagz.b, W32/Bagz-B, W32/Bagz.B.worm

Viren Typ:	Wurm

Dateigröße:	163.844 Bytes

Betriebsysteme:	Microsoft Windows 9x/ME/NT/2000/XP/Server 2003

Datum:	04.10.2004

Schadensroutine:	Versendet sich als Email, Nachladen von Dateien, Deaktivieren der Firewall

VDF Version:	6.27.0.85

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Worm/Bagz.B ist ein Massenmailer, der seine eigene SMTP Engine nutzt um sich selbst an die Emailadressen zu versenden, die er auf dem infizierten Systemen findet.

Nachdem der Wurm ausgeführt wurde legt er die folgende Einträge in der Windows Registry an:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
"syslogin.exe" = "syslogin.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NDISRD\

Der Wurm erstellt folgende Dateien:

\%SystemDIR%\syslogin.exe

\%SystemDIR%\tutorial.zip

\%SystemDIR%\dl.exe

und eine Kopie von sich selbst im System bzw. System32 Verzeichnis:

\%SystemDIR%\tutorial.doc<%div.Leerzeichen%> .exe

Nachdem Worm/Bagz.B seine Dateien 'abgelegt' hat, deaktiviert er die Windows Firewall in dem er den folgenden Befehl ausführt:

"netsh firewall ipv4 set opmode | mode=disable"

Danach werden Dateien von dem Wurm heruntergeladen und ausgeführt. Der Wurm installiert seinen eigenen Netzwerktreiber um die lokale Firewall zu umgehen.

Anschließend durchsucht der Wurm das System nach Emailadressen und speichert diese, wie auch die aktuelle IP Adresse des infizierten Computers

und das Email-Gateway, in den folgenden temporären Dateien:

\%SystemDIR%\ipdb.dll

\%SystemDIR%\jobdb.dll

\%SystemDIR%\wdate.dll

Infektionsweg:

Worm/Bagz.B versendet sich selbst oder ein ZIP Archiv an die Emailadressen, die er auf dem infizierten System gefunden hat.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Bizex

Kurzinformationen

Virusname:	Worm/Bizex

Alias:	Worm.Win32.Bizex, W32/Bizex.worm

Viren Typ:	Wurm

Dateigröße:	86.538 Bytes

Betriebsysteme: 	Microsoft Windows 9x/NT/2000/XP

Ursprung:	unbekannt

Datum:	25.02.2004

Schadensroutine: 	Keylogger, Versand über ICQ

VDF Version:	6.24.00.17

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Worm/Bizex verbreitet sich über das Messenger Programm ICQ, indem er an alle Anwender einen Link versendet, die in der Kontaktliste aufgeführt sind. Er erstellt Kopien unter den Dateinamen AVUPDATE.EXE, UPDATER.EXE, ABGETUPD.EXE und SYSMON.EXE

Infektionsweg:

ICQ

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Bride.A

Kurzinformationen

Virusname: 	Worm/Bride.A

Alias:	I-Worm.Bradex, PE_BRID.A, W32/Brid.A@MM

Viren Typ:	Wurm

Dateigröße:	114.687 Bytes

Betriebsysteme:	Windows 95/98/Me

Ursprung:	~

Datum:	04.11.2002

Schaden:	medium

Verbreitung:	medium

Allgemeine Beschreibung:

Verschickt sich an alle Mailadressen im Adressbuch und infiziert .EXE, .SCR und .OCX Dateien mit Hilfe mitgeführten Virus W32/Funlove.

Symptome:

Vorhandensein bestimmter Dateien und Registry Einträge (siehe Webseite)

Infektionsweg:

Verbreitet sich über Email als ausführbare .EXE. Ist der Virus aktiv, startet der File infector und infiziert alle .EXE .OCR und .SCR Dateien

Worm/Bride.A kann sich bereits in der Vorschau von Outlook

ausführen, ohne dass der Anwender den Dateianhang öffnet. Hierzu

benutzt er ein Sichheitsloch, welches im Microsoft Outlook schon

länger existiert.

Microsoft hat einen Patch bereit gestellt:

http://www.microsoft.com/technet/security/bulletin/MS01-020.asp

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Bride.C

Kurzinformationen

Virusname:  	Worm/Bride.C

Alias: 	I-Worm.Bradex,  Win32/Winevar.worm

Viren Typ: 	Wurm

Dateigröße: 	91.000 Bytes und größer

Betriebsysteme: 	Microsoft Windows 9x/NT/2000/XP

Ursprung: 	~

Datum: 	23.11.2002

Schaden:	high

Verbreitung:	medium

Allgemeine Beschreibung:

Verschickt sich an alle Mailadressen die in folgenden Dateien zu finden sind: *.htm, *.js, *.dbx. Er infiziert PE-Executable Dateien mit Hilfe des mitgeführten Virus W32/Funlove und löscht nahezu alle Dateien auf der Festplatte.

Symptome:

Vorhandensein bestimmter Dateien und Registry Einträge (siehe Webseite)

löscht nahezu alle Dateien auf der Festplatte

Infektionsweg:

Verbreitet sich über Email als ausführbare Datei und versendet sich an alle Emailadressen die der auf dem infizierten Computer findet.

Worm/Bride.C kann sich bereits in der Vorschau von Outlook

ausführen, ohne dass der Anwender den Dateianhang öffnet. Hierzu

benutzt er ein Sichheitsloch, welches im Microsoft Outlook schon

länger existiert.

Microsoft hat einen Patch bereit gestellt:

http://www.microsoft.com/technet/security/bulletin/MS01-020.asp

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Brit.B

Kurzinformationen

Virusname:	Worm/Brit.B

Viren Typ:	Wurm

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Datum:	26.03.2002

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Bei dem Wurm BritneyPic.2 handelt es sich um einen Massenmailer, der sich über Microsoft Outlook mit Hilfe des Outlook Adressbuches versendet.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Brit.F

Kurzinformationen

Virusname:	Worm/Brit.F

Alias:	Chick.F, I-Worm.Brit.g

Viren Typ:	Wurm

Dateigröße:	12.155 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Datum:	 	13.06.2002

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Bei Brit.F handelt es sich um einen Internet Wurm, der sich über das Emailprogramm Microsoft Outlook und über das mIRC-Programm mit Hilfe der ’Script.ini’.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/BugBear

Kurzinformationen

Virusname:	Worm/BugBear

Alias:	I-Worm.Tanatos

Viren Typ: 	Wurm

Dateigröße: 	50.688 Bytes

Betriebsysteme: 	Microsoft Windows 9x/NT/2000/XP

Ursprung: 	~

Datum: 	30.09.2002

Schaden:	medium

Verbreitung:	high

Allgemeine Beschreibung:

Worm/BubBear ist ein Massenmailer, der sich auch über gemappte Netzlaufwerke verbreiten kann. Der Wurm ist in der Lage, bestimmte Antivirensoftware und Firewalls auszuschalten.

Symptome:

Beendet laufende Prozesse bzw. Anwendungen verschiedener Antiviren Software und Firewalls.

Öffnet den Port 36794 und kann so den Zugriff auf das infizierte Rechnersystem erlauben.

Infektionsweg:

Worm/BugBear versendet sich mit Hilfe seiner eigenen SMTP Engine per Email.

Außerdem Verbreitet er sich über Netzlaufwerke von infizierten Computern.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Bugbear.B

Kurzinformationen

Virusname:	Worm/Bugbear.B

Alias:	Win32/BugBear.B.Worm, W32/Kijmo.A-mm

Viren Typ:	Internet Wurm / File Infektor

Dateigröße:	72.192 Bytes (UPX gepackt)

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	USA

Datum:	05.06.2003

VDF Version:	6.19.00.xx

Schaden:	medium

Verbreitung:	high !

Allgemeine Beschreibung:

Eine allgemeine Virenbeschreibung ist zu diesem Virus  nicht vorhanden..

Symptome:

Eine unbekannte .EXE Datei in Autostartverzeichnis

Das System lauscht auf dem TCP- Port 1080

Infektionsweg:

 Worm/BugBear.B infiziert mit einem polymorphen Code folgende Dateien:

%Windows%\SCANDSKW.EXE

%Windows%\REGEDIT.EXE

%Windows%\MPLAYER.EXE

%Windows%\HH.EXE

%Windows%\NOTEPAD.EXE

%Windows%\WINHELP.EXE

%Programme%\INTERNET EXPLORER\IEXPLORE.EXE

%Programme%\ADOBE\ACROBAT 5.0\READER\ACRORD32.EXE

%Programme%\WINRAR\WINRAR.EXE

%Programme%\WINDOWS MEDIA PLAYER\MPLAYER2.EXE

%Programme%\REAL\REALPLAYER\REALPLAY.EXE

%Programme%\OUTLOOKEXPRESS\MSIMN.EXE

%Programme%\FAR\FAR.EXE

%Programme%\CUTEFTP\CUTFTP32.EXE

%Programme%\ADOBE\ACROBAT 4.0\READER\ACRORD32.EXE

%Programme%\ACDSEE32\ACDSEE32.EXE

%Programme%\MSN MESSENGER\MSNMSGR.EXE

%Programme%\WS_FTP\WS_FTP95.EXE

%Programme%\QUICKTIME\QUICKTIMEPLAYER.EXE

%Programme%\STREAMCAST\MORPHEUS\MORPHEUS.EXE

%Programme%\ZONE LABS\ZONEALARM\ZONEALARM.EXE

%Programme%\TRILLIAN\TRILLIAN.EXE

%Programme%\LAVASOFT\AD-AWARE 6\AD-AWARE.EXE

%Programme%\AIM95\AIM.EXE

%Programme%\WINAMP\WINAMP.EXE

%Programme%\DAP\DAP.EXE

%Programme%\ICQ\ICQ.EXE

%Programme%\KAZAA\KAZAA.EXE

%Programme%\WINZIP\WINZIP32.EXE)

Der Wurm ist in der Lage, aktive Prozesse von Firewall- und Antivirensoftware zu beenden:

ZONEALARM.EXE, WFINDV32.EXE, WEBSCANX.EXE, VSSTAT.EXE, VSHWIN32.EXE, VSECOMR.EXE,

VSCAN40.EXE, VETTRAY.EXE, VET95.EXE, TDS2-NT.EXE, TDS2-98.EXE, TCA.EXE, ZBSCAN.EXE, SWEEP95.EXE,

SPHINX.EXE, SMC.EXE, SERV95.EXE, SCRSCAN.EXE, SCANPM.EXE, SCAN95.EXE, SCAN32.EXE, SAFEWEB.EXE,

RESCUE.EXE, RAV7WIN.EXE, RAV7.EXE, PERSFW.EXE, PCFWALLICON.EXE, PCCWIN98.EXE, PAVW.EXE,

PAVSCHED.EXE, PAVCL.EXE, PADMIN.EXE, OUTPOST.EXE, NVC95.EXE, NUPGRADE.EXE, NORMIST.EXE,

NMAIN.EXE, NISUM.EXE, NAVWNT.EXE, NAVW32.EXE, NAVNT.EXE, NAVLU32.EXE, NAVAPW32.EXE, N32SCANW.EXE,

MPFTRAY.EXE, MOOLIVE.EXE, LUALL.EXE, LOOKOUT.EXE, LOCKDOWN2000.EXE, JEDI.EXE, IOMON98.EXE, IFACE.EXE,

ICSUPPNT.EXE, ICSUPP95.EXE, ICMON.EXE, ICLOADNT.EXE, ICLOAD95.EXE, IBMAVSP.EXE, IBMASN.EXE, IAMSERV.EXE,

IAMAPP.EXE, FRW.EXE, FPROT.EXE, FP-WIN.EXE, FINDVIRU.EXE, F-STOPW.EXE, F-PROT95.EXE, F-PROT.EXE,

F-AGNT95.EXE, ESPWATCH.EXE, ESAFE.EXE, ECENGINE.EXE, DVP95_0.EXE, DVP95.EXE, CLEANER3.EXE, CLEANER.EXE,

CLAW95CF.EXE, CLAW95.EXE, CFINET32.EXE, CFINET.EXE, CFIAUDIT.EXE, CFIADMIN.EXE, BLACKICE.EXE, BLACKD.EXE,

AVWUPD32.EXE, AVWIN95.EXE, AVSCHED32.EXE, AVPUPD.EXE, AVPTC32.EXE, EAVPM.EXE, AVPDOS32.EXE,

AVPCC.EXE, AVP32.EXE, AVP.EXE, AVNT.EXE, AVKSERV.EXE, AVGCTRL.EXE, AVE32.EXE, AVCONSOL.EXE,

AUTODOWN.EXE, APVXDWIN.EXE, ANTI-TROJAN.EXE, ACKWIN32.EXE, _AVPM.EXE, _AVPCC.EXE, _AVP32.EXE

Worm/BugBear.B besitzt eine Backdoor-Komponente, die auf TCP Port 1080 Befehle abwartet. Somit ist der Angreifer in der Lage, Programme auszuführen, einzelne Prozesse zu beenden und Systeminformationen zu versenden.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Calil

Kurzinformationen

Virusname:	Worm/Calil

Alias:	W32/Lilac

Viren Typ:	Wurm

Dateigröße:	12.208 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	~

Datum:	08.07.2002

Schaden:	low

Verbreitung:	low

Allgemeine Beschreibung:

Worm/Calil ist ein Internet Wurm und wurde in der Programmiersprache Visual Basic geschrieben. Er hat eine Größe von 12.208 Bytes (ungepackt 30.720 Bytes). Wird Worm/Calil ausgeführt, versendet er sich über Microsoft Outlook an alle Emailadressen im WAB (Windows Adressbuch).

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Cervivec

Kurzinformationen

Virusname:	Worm/Cervivec

Alias:	W32/Cervivec@mm

Viren Typ:	Wurm

Dateigröße:	228.872 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Datum:	26.03.2002

Schaden:	low

Verbreitung:	low

Allgemeine Beschreibung:

Bei dem Worm/Cervivec handelt es sich um einen Massenmailer. Die .EXE Datei hat eine Größe von 228.872 Bytes. Er versendet sich als Email mit Hilfe der Kontakliste des ICQ. Er formuliert eine von Ihm gesendeten Emails in verschiedenen Sprachen:

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Chet

Kurzinformationen

Virusname:	Worm/Chet

Alias:	Anniv911.exe; 11september.exe

Viren Typ:	Wurm

Dateigröße:	26.628 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	~

Datum:	10.09.2002

Schaden:	low

Verbreitung:	low

Allgemeine Beschreibung:

Der Wurm versucht sich über Outlook zu versenden mit Hilfe des Windows Adressbuches (WAB).

Symptome:

Vorhandensein bestimmter Dateien und Registry Einträge (siehe Webseite)

Infektionsweg:

Verbreitet sich über Email als ausführbare .EXE

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/CodeRed

Kurzinformationen

Virusname:	Worm/CodeRed

Alias:	W32/CodeRed.a.worm

Viren Typ:	Wurm

Dateigröße:	0 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Datum:	25.07.2001

Schaden:	medium

Verbreitung:	high

Allgemeine Beschreibung:

Der Worm/CodeRed nutzt eine Sicherheitslücke des Microsoft Internet Information Sever (IIS) aus, um sich zu verbreiten. Sollte der Wurm ein Server infiziert haben, sucht er nach anderen angreifbaren Servern, um diese zu infizieren.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Cuervo

Kurzinformationen

Virusname:	Worm/Cuervo

Alias:	VBS/Cuerpo.A

Viren Typ:	Wurm

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Datum:	06.09.2001

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Worm/Cuervo ist ein Wurm, der als Visual Basic Script geschrieben wurde und sich mit Hilfe von Microsoft Outlook versendet. Er erstellt eine Reihe von .HTML und .VBS Dateien, ändert Einträge in der Registry und ersetzt die Internet Explorer Startseite durch seine eigene HTML Datei.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Cult.B

Kurzinformationen

Virusname:	Worm/Cult.B

Alias:	WORM_CULT.B, I-Worm.Cult.B

Viren Typ:	Internet Wurm

Dateigröße:	8.644 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	~

Datum:	03.04.2003

Schadensroutine:	Versand von Emails, Verbreitung über KaZaA

VDF Version:	6.19.00.05

Schaden:	low

Verbreitung:	low

Allgemeine Beschreibung:

Eine allgemeine Virenbeschreibung ist zu diesem Virus  nicht vorhanden..

Symptome:

Vorhandensein bestimmter Dateien und Registry Einträge (siehe Webseite)

Infektionsweg:

Verbreitet sich über Email und peer to peer file- sharing Netzwerke.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Cydog.C

Kurzinformationen

Virusname:	Worm/Cydog.C

Alias:	W32/Kickin@MM, W32Kickin.A@mm

Viren Typ:	Internet Wurm

Dateigröße:	109.056 Bytes (UPX gepackt)

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	-

Datum:	10.05.2003

Schadensroutine:	Verbreitet sich über Email /  P2P Netzwerke / IRC

VDF Version:	6.19.00.13

Schaden:	medium

Verbreitung:	medium

Allgemeine Beschreibung:

Bei Worm/Cydog.C handelt es sich um einen Massenmailer. Die Emailadressen, an die sich der Wurm versendet, sammelt er aus dem Yahoo Messenger, MSN und .NET Messenger, ICQ, Windows Adress Buch (WAB) sowie aus .EML und .HTML Dateien.

Worm/Cydog.C ist außerdem in der Lage, seine virulenten Dateien über bekannte Peer-To-Peer (P2P) Netzwerke wie Kazaa, Edonkey, Bearshare und Morpheus zum Download anzubieten.

Symptome:

Vorhandensein bestimmter Dateien und Registry Einträge (siehe Webseite)

Infektionsweg:

Verbreitet sich über peer to peer file- sharing Netzwerke, Email und über Netzlaufwerke von infizierten Computern.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/DeadHat.A

Kurzinformationen

Virusname:  	Worm/DeadHat.A

Alias: 	W32.HLLW.Deadhat, Vesser

Viren Typ: 	Wurm

Dateigröße: 	55.808 Bytes

Betriebsysteme: 	Microsoft Windows 9x/NT/2000/XP

Ursprung: 	unbekannt

Datum: 	09.02.2004

Schadensroutine: 	Backdoor Funktion, Verbreitung über Soulseek

VDF Version: 	6.23.00.61

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Worm/DeadHat.A ist ein Wurm, der Backdoor Fähigkeiten besitzt. Er ist in der Lage sich über das P2P (Peer-To-Peer) Netzwerk Programm Soulseek zu verbreiten.

Ist das System mit einem der beiden Worm/MyDoom Varianten infiziert, wird dieser von Worm/DeadHat.A deinstalliert.

Der Wurm kopiert sich mit dem Dateinamen 'SMS.EXE' in das Windows System Verzeichnis und erstellt einen Registry Run Eintrag.

Symptome:

Es erscheint eine MessageBox mit dem Text 'Error executing program!'

Infektionsweg:

über das P2P Netzwerk Programm 'Soulseek'

über die Backdoor Funktion von Worm/MyDoom

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Deloder

Kurzinformationen

Virusname:	Worm/Deloder

Alias:	~

Viren Typ:	Internet Wurm

Dateigröße:	745.984 Bytes

Betriebsysteme:	Microsoft Windows 2000/XP und Server 2003

Ursprung:	~

Datum:	09-03-2003

VDF Version:	6.18.00.xx

Schaden:	medium

Verbreitung:	medium

Allgemeine Beschreibung:

Worm/Deloder verbreitet sich über die Windows Netzwerkfreigabe auf Port 445 und versucht durch 85 verschiedene Passworteingaben sich als Administrator anzumelden.

Symptome:

Ungewöhnlich hohe Ausgangs TCP- Traffic am Port 445.

Infektionsweg:

Windows Netzwerkfreigaben

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Doomjuice

Kurzinformationen

Virusname:  	Worm/Doomjuice

Alias: 	W32.HLLW.Doomjuice, Mydoom.C

Viren Typ: 	Wurm

Dateigröße: 	43.008 Bytes

Betriebsysteme: 	Microsoft Windows 9x/NT/2000/XP/2003 Server

Ursprung: 	unbekannt

Datum: 	09.02.2003

Schadensroutine: 	-

VDF Version: 	6.23.00.62

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Worm/Doomjuice verbreitet sich ausschließlich auf Systeme, welches mit einem der beiden Varianten von Worm/MyDoom infiziert ist. Hierzu nutzt er die Backdoor Routine des Worm/MyDoom aus.

Die .EXE Datei hat eine Dateigröße von 43.008 Bytes.

Worm/Doomjuice startet eine DoS (Distributed Denial of Service) Attacke auf die Webseite www.microsoft.com.

Symptome:

Eine Datei mit dem Namen  'sync-src-1.00.tbz' (28.569 Bytes) befindet sich im Root-, Windows- und System-Verzeichnis

Infektionsweg:

Worm/Doomjuice infiziert System über die Backdoor Routine von Worm/MyDoom.A oder Worm/MyDoom.B

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Dumaru.A

Kurzinformationen

Virusname:	Worm/Dumaru.A

Alias:	I-Worm.Dumaru; W32/Dumaru@MM; W32/Dumaro.A;  W32/Dumaru-A

Viren Typ:	Internet Wurm

Dateigröße:	~9 Kbytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	~

Datum:	19.08.2003

Schadensroutine:	Versendet sich via Email

VDF Version:	6.21.00.21

Schaden:	low

Verbreitung:	low

Allgemeine Beschreibung:

Dumaru.A nutzt für seine Verbreitung die Hysterie, welche der Wurm/Lovsan ausgelöst hat. Er gibt vor, ein Patch für den Internet-Explorer zu sein. Auf diese Weise versucht er Email-Empfänger zu animieren, den Dateianhang auszuführen.

Symptome:

Vorhandensein bestimmter Dateien und Registry Einträge (siehe Webseite)

erhöhter Email Traffic

Infektionsweg:

Email

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Dumaru.AC

Kurzinformationen

Virusname:	Worm/Dumaru.AC

Alias:	W32.Dumaru.AH@mm, W32/Mimail.u@MM

Viren Typ:	Wurm / Backdoor / Keylogger

Dateigröße:	40.960 Bytes, 28.020 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	unbekannt

Datum:	11.02.2004

Schadensroutine: 	Emailversand, Backdoor Funktionen,

Keylogger Funktionen

VDF Version:	6.23.00.65

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Worm/Dumaru.AV ist ein polymorpher Massenmailer, welcher eine Backdoor- und Keylogger-Komponente mit sich führt. Er besitzt seine eigene SMTP Engine zum Versand von Emails und kommt als 28.020 Bytes große Datei an.

Symptome:

Beim Aufruf wird eine Grafik im Internet Explorer angezeigt.

Infektionsweg:

Emailversand

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Dumaru.Y
Worm.Dumaru.Y

Kurzinformationen

Virusname: 	Worm/Dumaru.Y

Alias: 	W32/Dumaru.y@mm, WORM_DUMARU.Y

Viren Typ: 	Wurm

Dateigröße: 	17 KByte

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung: 	 	unknown

Datum: 	 	25.01.2004

Schadensroutine: 	Versand von Emails, Backdoor Routine

VDF Version: 	 	6.23.00.33

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Die neue Variante des Wurmes Dumaru hat eine Emailversand-, wie auch eine Backdoor-Routine im Code enthalten. Ist der Wurm auf dem System aktiv, wird eine Nachricht an den Programmierer gesendet.

Worm/Dumaru.Y installiert sich auf dem System und durchsucht alle .WAB, .HTM, .HTML, .DBX, .ABD und .TBB Dateien nach Emailadressen, an die er sich versenden kann. Über den Port 2283 wird die Backdoor-Komponente aufgeführt.

Infektionsweg:

Emailversand

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/ExploreZip.E

Kurzinformationen

Virusname:	Worm/ExploreZip.E

Alias:	Zipped_Files

Viren Typ:	Internet Wurm

Dateigröße:	91.048 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	~

Datum:	08.01.2003

Schaden:	medium

Verbreitung:	medium

Allgemeine Beschreibung:

Worm/ExploreZip.E verbreitet sich mittels Outlook, Exchange oder NetScape Mail.  Er setzt alle .DOC, .XLS, .CPP, .C und .H Dateien auf 0 Bytes zurück.

Symptome:

Er setzt alle .DOC, .XLS, .CPP, .C und .H Dateien auf 0 Bytes zurück.

Infektionsweg:

Verbreitet sich über Email als ausführbare .EXE.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Fizzu.A

Kurzinformationen

Virusname:	Worm/Fizzu.A

Alias:	W32/Fizzer@mm, W32/Fizzer.gen@MM

Viren Typ:	Internet Wurm

Dateigröße:	220.160 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	~

Datum:	12.05.2003

VDF Version:	6.19.00.13

Schaden:	low

Verbreitung:	low

Allgemeine Beschreibung:

Worm/Fizzu.A ist ein Massenmailer und kann sich über das Kazaa Peer-To-Peer (P2P) Netzwerk verbreiten. Er führt ein IRC Backdoor Programm, ein DoS (Denial of Service) Tool sowie einen Trojaner mit sich.

Versandte Emails von Worm/Fizzu.A sehen nie gleich aus, da der Name des Attachments, der Betreff und Emailbody aus einer Liste von Wörtern zusammengesetzt werden, die der Wurm mit sich führt.

Symptome:

Unerwarteter Traffic auf Port 6667 (IRC) oder auf Port 5190 (AIM)

Infektionsweg:

Verbreitet sich über KaZaa und Email als ausführbare .EXE

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Frethem

Kurzinformationen

Virusname:	Worm/Frethem

Alias:	W32/Frethem

Viren Typ:	Wurm

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Datum:	13.06.2002

VDF Version:	6.19.00.

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung

Worm/Frethem ist ein Internet Wurm, der sich per Email versendet. Die Emailadressen werden aus dem Windows Adressbuch und allen .dbx Dateien gesammelt. Da Worm/Frethem seine eigene SMTP Engine besitzt, braucht er kein Emailprogramm wie Outlook um sich zu versenden. Eine vom Wurm versandte Email hat folgenden Inhalt:

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Frethem.J

Kurzinformationen

Virusname:	Worm/Frethem.J

Viren Typ:	Wurm

Dateigröße:	47.616 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	~

Datum:	16.07.2002

Schaden:	low

Verbreitung:	low

Allgemeine Beschreibung

Der Wurm Worm/Frethem.J hat eine Größe von 47.616 Bytes und wurde mit den Laufzeitpackern PE-Pack und UPX gepackt. Er versendet sich über seine eigene SMTP Egine an alle Emailadressen, die er im Windows Adressbuch oder in Dateien mit der Dateierweiterung .dbx, .wab, .mbx, .mdb oder .eml finden kann.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Frethem.l

Kurzinformationen

Virusname:	Worm/Frethem.l

Viren Typ:	Wurm

Dateigröße:	48.640 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	~

Schaden:	low

Verbreitung:	low

Allgemeine Beschreibung:

Der Wurm Worm/Frethem.l hat eine Größe von 48.640 Bytes und wurde mit den Laufzeitpackern PE-Pack und UPX gepackt. Er versendet sich über seine eigene SMTP Egine an alle Emailadressen, die er im Windows Adressbuch oder in Dateien mit der Dateierweiterung .dbx, .wab, .mbx, .mdb oder .eml finden kann. Eine vom Worm/Frethem.l versandte Email hat den folgenden Inhalt:

Infektionsweg:

Verbreitet sich über Email als ausführbare .EXE

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/FriendGreet

Kurzinformationen

Virusname:	Worm/FriendGreet

Alias:	WORM_FRIENDGRT.A

Viren Typ:	Programm

Dateigröße:	1.142.044 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Datum:	24.10.2002

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Bei Worm/FriendGreet handelt es sich um keinen Virus bzw. Wurm im eigentlichen Sinne, sondern um eine 'normale' Anwendung. Es versendet sich an alle Benutzer, die in der Kontaktliste des Microsoft Outlook stehen, die Erlaubnis des Anwenders vorrausgesetzt.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Ganda

Kurzinformationen

Virusname:	Worm/Ganda

Alias:	W32/Ganda@MM , Win32.Ganda.A

Viren Typ:	Email Wurm, PE Infektor

Dateigröße:	45,056 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	Schweden

Datum:	17.03.2003

Schadensroutine:	Emailversand, infiziert Dateien mit .EXE Erweiterung

VDF Version:	6.18.00.16

Schaden:	medium

Verbreitung:	low

Allgemeine Beschreibung:

Worm/Ganda versendet sich als Email mit Hilfe seiner eigener SMTP Engine. Er benötigt deshalb kein Email Client Programm wie z.B. Outlook oder Outlook Express. Die Emailadressen, an die er sich versendet, sucht er sich in Dateien mit der Erweiterung .EML, .HTM, .HTML und dem Windows Adressbuch zusammen.

Sollte das Attachment des Wurmes ausgeführt werden, kopiert er sich in das Windows Verzeichnis unter dem Namen Scandisk.exe und einem zufällig gewählten Dateinamen und der Dateierweiterung .EXE (########.EXE) mit einer Dateigröße von 45,056 Bytes.

Damit sich der Wurm beim nächsten Systemstart erneut ausführen kann, erstellt er einen Registry Run Eintrag unter

HKEY_LOCAL_MACHINE\Software\Microsoft\ Windows\CurrentVersion\Run\

Worm/Ganda infiziert auf dem lokalen Laufwerken Windows PE Dateien mit der Dateierweiterung .EXE mit einem 567 Bytes großen Code. Diese Dateien können allerdings keine weiteren Dateien infizieren und können weiterhin mit vollem Funktionsumfang ausgeführt werden.

Ist der Wurm aktiv, kann er laufende Prozesse bzw. Anwendungen verschiedener Antiviren Software und Firewalls beenden.

Symptome:

Beendet laufende Prozesse bzw. Anwendungen verschiedener Antiviren Software und Firewalls.

45,056 byte Datei mit dem Namen SCANDISK.EXE in %WinDir% Verzeichnis.

Identische 45,056 byte Datei mit zufälligen Dateinamen (8 Zeichen + .EXE) im %WinDir% Verzeichnis.

Vorhandensein bestimmter Registry Einträge (siehe Webseite)

Infektionsweg:

Der Wurm hat eine eigene SMTP Engine und versendet sich an alle Emailadressen die der auf dem infizierten Computer findet.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Gibe.B

Kurzinformationen

Virusname:	Worm/Gibe.B

Alias:	Win32.Gibe.B@mm, WORM_GIBE.B

Viren Typ:	Internet Wurm

Dateigröße:	155.648 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	~

Datum:	26.02.2003

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Bei Worm/Gibe.B handelt es sich um einen Massenmailer, der sich als Microsoft Internet Update tarnt. Er verbreitet sich durch den Versand von Emails, über das lokale Netzwerk, über mIRC und das Peer-to-Peer (P2P) Netzwerk 'KaZaA'.

Symptome:

Vorhandensein bestimmter Dateien und Registry Einträge (siehe Webseite)

Tarnt sich als Microsoft Internet Update (siehe Technische Details)

Infektionsweg:

Der Wurm hat eine eigene SMTP Engine und versendet sich an alle Emailadressen die der auf dem infizierten Computer findet.

Außerdem Verbreitet er sich über Peer-to-Peer (P2P) Netzwerk 'KaZaA' und über Netzlaufwerke von infizierten Computern.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Gibe.C

Kurzinformationen

Virusname:	Worm/Gibe.C

Alias:	W32/Swen@mm

Viren Typ:	Internet Wurm

Dateigröße:	106.469 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	~

Datum:	18.09.2003

Schadensroutine:	Emailversand, P2P Filesharing

VDF Version:	6.21.00.47

Allgemeine Beschreibung:

Worm/Gibe.C ist ein Massen-Mail-Wurm, der eine eigene SMTP-Engine verwendet, um sich zu verbreiten. Er versucht, sich über Dateifreigabe- Netzwerke wie z. B. KaZaA und IRC zu verbreiten und Virenschutzprogramme und persönliche Firewalls auf einem Computer auszuschalten.

Der Wurm kann in einem E-Mail-Anhang enthalten sein. Betreff, Nachrichtentext und Absender der E-Mail können variieren. Bei einigen E- Mails wird behauptet, dass es sich um Patches für Microsoft Internet Explorer oder um "Delivery Failure"-Benachrichtigungen handelt.

Der Wurm nutzt eine Sicherheitslücke in Microsoft Outlook und Outlook Express aus, um sich selbst auszuführen, sobald Sie eine Nachricht öffnen oder eine Vorschau davon anzeigen.

Symptome:

Dateien mit der Extension .EXE, .COM, .PIF, .SCR, .BAT können nicht mehr ausgeführt werden.

Infektionsweg:

Emailversand

P2P (Peer-to-Peer) Netzwerke

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Gnutella.MG

Kurzinformationen

Virusname:	Worm/Gnutella.MG

Alias:	P2P/Mandragore

Viren Typ:	Wurm

Dateigröße:	8192 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Datum:	27.02.2001

Schaden:	low

Verbreitung:	low

Allgemeine Beschreibung:

Mandragore ist ein Wurm, der sich über das Gnutella-Netzwerk verbreitet. Gnutella ist vergleichbar mit Napster, einem auf Peer-to-Peer (P2P) basierenden File Sharing-Netzwerk. Um auf das Gnutella-Netzwerk zuzugreifen, werden Programme wie etwa ToadNode oder BearShare eingesetzt.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Goner

Kurzinformationen

Virusname:	Worm/Goner

Alias:	W32/Goner@MM

Viren Typ:	Wurm

Dateigröße:	38.912 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Datum:	05.12.2001

Schaden:	medium

Verbreitung:	medium

Allgemeine Beschreibung:

Bei dem  Worm/Goner handelt es sich um einen Massen Mailer mit einer Größe von 38.912 Bytes, der in Visual Basic programmiert wurde. Er versendet sich als Email über Outlook und infiziert andere Computer mit Hilfe des ICQ Instant Messanger.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Holar.C

Kurzinformationen

Virusname:	Worm/Holar.C

Alias:	W32/SfxDeth.A-mm, W32/Lagel.A

Viren Typ:	Internet Wurm

Dateigröße:	54.514 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	~

Datum:	04.12.2002

Schaden:	high !

Verbreitung:	low

Allgemeine Beschreibung:

Worm/Holar.C ist ein Internet Wurm, der sich mit Hilfe seiner eigenen SMTP Engine versendet und alle Daten auf den lokalen Laufwerken D, E, F und G löscht.

Symptome:

Erscheinen von Bildschirmdialogen (siehe Technische Details)

Ausgehende Emails wie unten Beschrieben

Infektionsweg:

Der Wurm hat eine eigene SMTP Engine und versendet sich an alle Emailadressen die der auf dem infizierten Computer findet als ausführbare .EXE Datei.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Kazaa

Kurzinformationen

Virusname:	Worm/Kazaa

Viren Typ:	Wurm

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	Deutschland

Datum:	23.05.2002

Schaden:	low

Verbreitung:	low

Allgemeine Beschreibung:

Worm/Kazaa ist ein Wurm, der sich über das über das Peer-to-Peer Netzwerk Kazaa verbreitet.

Mit Hilfe dieses Netzwerkes können die verschiedenste Programme, Spiele, Filme usw. ausgetauscht

werden.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Klez.E

Kurzinformationen

Virusname:	Worm/Klez.E

Alias:	W32/Klez.G, W32/Klez.H@mm

Viren Typ:	Wurm

Dateigröße:	~ 80 kbyte

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Datum:	19.04.2002

Schaden:	medium

Verbreitung:	high

Allgemeine Beschreibung:

Worm/Klez.E kopiert sich wahllos in verschiedene Verzeichnisse sowie Unterverzeichnisse auf allen lokalen Laufwerken, sowie alle gesharte Netzlaufwerken mit Schreib-/Lesezugriff.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Korgo.M

Kurzinformationen

Virusname:	Worm/Korgo.M

Alias:	W32.Korgo.M

Viren Typ:	Wurm

Dateigröße:	11.391 Bytes

Betriebsysteme:	Microsoft Windows 95/98/ME/NT/2000/XP

Ursprung:	unbekannt

Datum:	22.06.2004

Schadensroutine:	Nutzt die Microsoft Windows LSASS Sicherheitslücke aus

VDF Version:	6.25.00.108

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Wird Worm/Korgo.M ausgeführt wurde, löscht er die Datei "Ftpupd.exe". Der Wurm erstellt mehrere Mutexes, um sich zu vergewissern, dass nur eine Version von ihm aktiv ist.

Infektionsweg:

Worm/Korgo.M öffnet den TCP Port 113 und einen weiteren zufällig gewählten Port zwischen 2000 und 8191, welche der Wurm nutzt, sich selbst zu versenden.

Der Wurm nutzt die Microsoft Windows Sicherheitslücke "LSASS" über den TCP Port 445 aus, indem er eine zufällig gewählte IP Adresse kontaktiert und versucht sich auf diesen zu versenden.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Korgo.N

Kurzinformationen

Virusname:	Worm/Korgo.N

Alias:	W32.Korgo.N

Viren Typ:	Wurm

Dateigröße:	9.344 Bytes

Betriebsysteme:	Microsoft Windows NT/2000/XP/Server 2003

Ursprung:	unbekannt

Datum:	23.06.2004

Schadensroutine:	Nutzt die Microsoft Windows LSASS Sicherheitslücke aus

VDF Version:	6.25.00.109

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Wird Worm/Korgo.N gestartet, löscht er die Datei ftpupd.exe im aktuellen Verzeichnis. Er erstellt den Mutex "uterm18", um sich zu vergewissern, dass es nur einen aktiven Prozess des Wurmes gibt.

Infektionsweg:

Worm/Korgo.N öffnet die TCP Ports 113, 5111 und einen zufällig gewählten Port zwischen 256 und 8191, welcher der Wurm dann nutzt, um sich selbst zu versenden.

Der Wurm nutzt die Microsoft Windows Sicherheitslücke "LSASS" über den TCP Port 445 aus, indem er sich zu einer zufällig gewählte IP Adresse verbindet.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Korgo.Q

Kurzinformationen

Virusname:	Worm/Korgo.Q

Alias:	W32.Korgo.Q

Viren Typ:	Wurm

Dateigröße:	9.534 Bytes

Betriebsysteme:	Microsoft Windows 95/98/ME/NT/2000/XP

Ursprung:	unbekannt

Datum:	26.06.2004

Schadensroutine:	Nutzt die Microsoft Windows LSASS Sicherheitslücke aus

VDF Version:	6.26.00.07

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Nachdem Worm/Korgo.Q ausgeführt wurde, löscht er die Datei ftpupd.exe aus dem aktuellen Verzeichnis. Er erstellt den Mutex "uterm19" um sich zu vergewissern, dass nur ein aktiven Prozess von ihm gibt.
Der Wurm versucht eine sich in den aktiven EXPLORER.EXE Task einzubinden, damit man ihn nicht in der Taskliste unter den aktiven Prozessen sehen kann. Sollte dies nicht erfolgreich sein, so startet er sich selbst als aktiven Prozess und ist auch in der Taskliste sichtbar.

Infektionsweg:

Worm/Korgo.Q öffnet einen zufällig gewählten TCP Port zwischen 256 und 8191, welcher der Wurm nutzt um sich selbst um andere Rechner zu kontaktieren und sich an diese zu versenden.

Der Wurm nutzt die Microsoft Windows Sicherheitslücke "LSASS" über den TCP Port 445 aus indem er auch eine zufällig gewählte IP Adresse kontaktiert und versucht auf diesen Rechner "einzudringen".

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Lee.SP

Kurzinformationen

Virusname:	Worm/Lee.SP

Viren Typ:	Wurm

Dateigröße:	2.195 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	Deutschland

Datum:	07.06.2002

Schaden:	low

Verbreitung:	low

Allgemeine Beschreibung:

Worm/Lee.SP ist ein Wurm, der sich mit Hilfe der Emailadressen des Outlook Adressbuches versendet.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Lovegate

Kurzinformationen

Virusname:	Worm/Lovegate

Alias:	Supnot, I-Worm.Supnot

Viren Typ:	Internet Wurm, Backdoor

Dateigröße:	84.992 bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	~

Datum:	24.02.2003

Schaden:	medium

Verbreitung:	medium

Allgemeine Beschreibung:

Worm/Lovegate kopiert sich unter mehrere Dateinamen in den Windows System Ordner, verbreitet sich auf gesharte Laufwerke und verschickt sich per Email.

Symptome:

Eine Backdoor- Komponente wird installiert und öffnet auf infizierten Rechnern den 10168 Port.

Infektionsweg:

Der Wurm hat eine eigene SMTP Engine und versendet sich an alle Emailadressen die der auf dem infizierten Computer findet.

Außerdem Verbreitet er sich über Netzlaufwerke von infizierten Computern.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Lovgate.J

Kurzinformationen

Virusname:	Worm/Lovegate.J

Alias:	W32/Lovgate.j@MM / PE_LOVGATE.J / Supnot

Viren Typ:	Internet Wurm, Backdoor

Dateigröße:	127.488 Bytes (ASPack)

Betriebsysteme:	Microsoft Windows NT/2000/XP

Ursprung:	~

Datum:	13.05.2003

VDF Version:	6.19.00.15

Schaden:	medium

Verbreitung:	low

Allgemeine Beschreibung:

Worm/Lovgate.J ist eine Variante des Worm/Lovegate.F und wurde in der Programmiersprache C++ verfasst. Er hat eine Dateigröße von 127.488 Bytes und ist mit dem Laufzeitpacker ASPACK gepackt.

Der Wurm ist ein Massenmailer, der seine Email Adressen aus allen Dateien, die mit der Dateierweiterung .HT* beginnen, zusammen sucht. Der Betreff und das Attachment einer Email wird aus einer Liste mit Wörtern zufällig zusammengesetzt.

Worm/Lovgate.J kopiert sich unter mehreren Dateinamen in verschiedene Verzeichnisse und auf allen gemappten Netzlaufwerke, die auf dem Rechnersystem verfügbar sind. Er trägt eine Backdoor Komponente mit sich, welche auf dem Port 10168 Daten sendet und empfängt.

Symptome:

Öffnet den Port 10168 auf infizierten Computern

Vorhandensein bestimmter Dateien (siehe Webseite)

Infektionsweg:

Der Virus verbreitet sich via Email und gesharten Netzlaufwerken und kopiert sich in den Posteingang von Outlook.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Lovsan.A

Kurzinformationen

Virusname:	Worm/Lovsan.A

Alias:	W32/Lovsan.worm, WORM_MSBLAST.A

Viren Typ:	Wurm

Dateigröße:	6.176 Bytes (11,296 Bytes (ungepackt))

Betriebsysteme:	Microsoft Windows NT/2000/XP

Ursprung:	unbekannt

Datum:	11.08.2003

Schadensroutine:	DDOS Attacke

VDF Version:	6.21.0.10

Schaden:	medium

Verbreitung:	high !

Allgemeine Beschreibung:

Worm/Lovsan.A nutzt den sogenannten RPC DCOM Buffer Overflow aus.

Durch diese Sicherheitslücke wird dem Angreifer der Vollzugriff auf ein Windows NT/2000/XP System erlaubt.

Der Computerwurm scannt zufällig ausgewählte IP Adressen und übermittelt seine Daten auf entsprechende Systeme im Netzwerk bzw. Internet über Port 135.

Der Wurm führt an bestimmten Tagen im Monat DDoS-Attacken gegen die Webseite windowsupdate.com aus.

Technische Details über den 'RPC DCOM Buffer Overflow' sowie den aktuellen Microsoft Sicherheitspatch finden Sie auf der folgenden Microsoft Webseite:

Microsoft Security Bulletin MS03-026

http://www.microsoft.com/technet/security/bulletin/MS03-026.asp

Symptome:

Eine Datei mit dem Namen MSBLAST.EXE steht im Windows System32 Verzeichnis

Infektionsweg:

Der Wurm nutzt eine Sicherheitslücke des RPC DCOM aus und erlangt so den Vollzugriff auf das Windows System. Infektionswege sind das Netzwerk sowie das Internet.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Lovsan.B

Kurzinformationen

Virusname:	Worm/Lovsan.C

Alias:	W32/Blaster-B, Win32.Poza.B

Viren Typ:	Wurm

Dateigröße:	5,360 bytes

Betriebsysteme:	Microsoft Windows NT/2000/XP

Ursprung:	unbekannt

Datum:	13.08.2003

Schadensroutine:	DDOS Attacke

VDF Version:	6.21.0.14

Schaden:	medium

Verbreitung:	high !

Allgemeine Beschreibung:

Worm/Lovsan.B nutzt den sogenannten RPC DCOM Buffer Overflow aus.

Durch diese Sicherheitslücke wird dem Angreifer den Vollzugriff auf ein Windows NT/2000/XP System erlaubt.

Der Computerwurm scannt zufällig ausgewählte IP Adressen und übermittelt seine Daten auf entsprechende Systeme im Netzwerk bzw. Internet über Port 135.

Der Wurm führt an bestimmten Tagen im Monat DDoS-Attacken gegen die Webseite windowsupdate.com aus.

Technische Details über den 'RPC DCOM Buffer Overflow', sowie den aktuellen Microsoft Sicherheitspatch finden Sie auf der folgenden Microsoft Webseite:

Microsoft Security Bulletin MS03-026

Symptome:

Eine Datei mit dem Namen TEEKIDS.EXE steht im Windows System32 Verzeichnis

Infektionsweg:

Der Wurm nützt eine Sicherheitslücke des RPC DCOM aus und erlangt so den Vollzugriff auf das Windows System. Der Infektionsweg ist das Netzwerk, sowie das Internet.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Lovsan.C

Kurzinformationen

Virusname:	Worm/Lovsan.C

Alias:	W32/Blaster-C, Win32.Poza.C

Viren Typ:	Wurm

Dateigröße:	7,200 bytes

Betriebsysteme:	Microsoft Windows NT/2000/XP

Ursprung:	unbekannt

Datum:	13.08.2003

Schadensroutine:	DDOS Attacke

VDF Version:	6.21.0.14

Schaden:	medium

Verbreitung:	high !

Allgemeine Beschreibung:

Worm/Lovsan.C nutzt den sogenannten RPC DCOM Buffer Overflow aus.

Durch diese Sicherheitslücke wird dem Angreifer den Vollzugriff auf ein Windows NT/2000/XP System erlaubt.

Der Computerwurm scannt zufällig ausgewählte IP Adressen und übermittelt seine Daten auf entsprechende Systeme im Netzwerk bzw. Internet über Port 135.

Der Wurm führt an bestimmten Tagen im Monat DDoS-Attacken gegen die Webseite windowsupdate.com aus.

Technische Details über den 'RPC DCOM Buffer Overflow', sowie den aktuellen Microsoft Sicherheitspatch finden Sie auf der folgenden Microsoft Webseite:

Microsoft Security Bulletin MS03-026

http://www.microsoft.com/technet/security/bulletin/MS03-026.asp

Symptome:

Eine Datei mit dem Namen PENIS32.EXE steht im Windows System32 Verzeichnis

Infektionsweg:

Der Wurm nützt eine Sicherheitslücke des RPC DCOM aus und erlangt so den Vollzugriff auf das Windows System. Der Infektionsweg ist das Netzwerk, sowie das Internet.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Lovsan.E

Kurzinformationen

Virusname:	Worm/Lovsan.E

Alias:	Worm.Win32.Lovesan; W32/Msblast.E; W32/Blaster-E; W32/Blaster.E

Viren Typ:	Wurm

Dateigröße:	6.176 Bytes

Betriebsysteme:	Microsoft Windows 2000/XP

Ursprung:	unbekannt

Datum:	29.08.2003

Schadensroutine:	DDOS Attacke

VDF Version:	6.21.0.31

Schaden:	low

Verbreitung:	low

Allgemeine Beschreibung:

Diese neue Variante des Lovsan Wurms verbreitet sich auf die gleiche Weise wie schon sein Vorgänger und nutzt eine Sicherheitslücke aus.

Symptome:

Eine Datei mit dem Namen %system%\mslaugh.exe  steht im Windows System32 Verzeichnis

Infektionsweg:

Der Wurm nützt eine Sicherheitslücke des RPC DCOM aus und erlangt so den Vollzugriff auf das Windows System. Der Infektionsweg ist das Netzwerk, sowie das Internet.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Magold.E

Kurzinformationen

Virusname:	Worm/Magold.E

Alias:	Maya Gold, Auric

Viren Typ:	Internet Wurm

Dateigröße:	238.592 Bytes

Betriebsysteme:	Microsoft Windows NT/2000/XP

Ursprung:	Kanada

Datum:	23.06.2003

VDF Version:	6.20.00.15

Schaden:	low

Verbreitung:	medium

Symptome:

Beim Ausführen von Anwendungen, lädt Windows länger

Infektionsweg:

Emailversand

P2P (Peer-To-Peer) Netzwerke

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Maldal.C

Kurzinformationen

Virusname:	Maldal.C

Alias:	Keyluc, Zacker, Zaker, Christmas.exe

Viren Typ:	Wurm

Dateigröße:	37.376 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Datum:	21.12.2001

Schaden:	medium

Verbreitung:	low

Allgemeine Beschreibung:

Der Wurm Maldal.C verbreitet sich mit Hilfe des Email Attachment CHRISTMAS.EXE. Wird dieses Attachment ausgeführt, versendet der Wurm sich über Outlook an alle Emailadressen, die er im Windows Adressbuch findet.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Maldal.I

Kurzinformationen

Virusname:	Worm/Maldal.i

Alias:	W32/Maldal.i@MM

Viren Typ:	Wurm

Dateigröße:	23.552 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Datum:	20.02.2002

Schaden:	high

Verbreitung:	medium

Allgemeine Beschreibung:

Der E-Mail Wurm Maldal.I verschickt sich über Microsoft Outlook.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Matcher

Kurzinformationen

Virusname:	Worm/Matcher

Alias:	W32.Matcher.Worm

Viren Typ:	Wurm

Dateigröße:	29 Kbytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Datum:	26.04.2001

Allgemeine Beschreibung:

Der Emailwurm Matcher ist ein .EXE Datei, die in Visual Basic 6.0 geschrieben wurde. Er hat eine Länge von 29 Kbytes und ist nicht encrypted oder gepackt. Um den Wurm auszuführen muss auf dem Rechnersystem die Datei MSVBV60.DLL installiert sein. Er versendet sich mit Hilfe des Adressbuches über Microsoft Outlook und Outlook Express.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Mexer.E

Kurzinformationen

Virusname:	Worm/Mexer.E

Alias:	W32.Mexer.E@mm, Worm.Win32.Delf.e, W32/Fightrub.A.worm,

Viren Typ:	Wurm

Dateigröße:	30.720 Bytes

Betriebsysteme:	Microsoft Windows 9x/ME/NT/2000/XP/Server 2003

Ursprung:	unbekannt

Datum:	21.09.2004

Schaden:	low

Verbreitung:	medium

VDF Version:	6.27.00.68

Allgemeine Beschreibung

Worm/Mexer.E ist ein Massenmailer, der sich auch über Peer-To-Peer (P2P) Netzwerke verbreiten kann. Nachdem der Wurm ausgeführt wurde, erstellt er folgende Einträge in der Windows Registry:

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
"Ruby13"="C:\sysnet\Ruby13.exe"

HKEY_CURRENT_USER\Software\Imesh\Client\LocalContent

HKEY_CURRENT_USER\Software\Kazaa\LocalContent

HKEY_CURRENT_USER\Software\Kazaa\Transfer
"Dir0"="012345:c:\sysnet\"

Merhere Kopien des Wurmes werden unter verschiedenen Dateinamen in den Ordner SYS32 des Windows System bzw. System32 Verzeichnisses (je nach Windowsversion) abgelegt:

%SystemDIR%\SYS32\*

Worm/Mexer.E öffnet eine Nachricht mit dem Titel "Ruby V1.3, (c)BI 16.08.2004" und dem Text "Fight against MICROSOFT and make a virus!"

Worm/Mexer.E versendet sich automatisch als Anhang an alle Emailadressen, die er aus folgenden Dateien bezieht:

.dbx

.htm

.sht

.doc

.rtf

.txt

.wab

Der Wurm versendet sich nicht, wenn einer der folgenden Zeichenkette in der Emailadresse enthalten sind:

root

newv

kasp

admi

host

supp

micr

webm

viru

Der Wurm verwendet seine eigene SMTP Engine um sich zu versenden. Das Subject wird aus einer Liste zufällig ausgewählt.

Der Anhang wird zufällig aus dem Verzeichnis C:\SYSNET bezogen. Der Email Body wird aus einer der folgenden aufgelisteten Texten ausgewählt:

Here is your crack!

New account data...

Security Tool...

EBAY Installer...

Symptome:

Vorhandensein der gennannten Dateien und Registry-Einträge

Infektionsweg:

Emailversand über eigene SMTP-Engine

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Mimail.C

Kurzinformationen

Virusname:	Worm/Mimail.C

Alias:	W32.Mimail.C@mm, W32/Mimail.c@mm, WORM_MIMAIL.C, W32/Mimail-C, I-Worm.Mimail.c

Viren Typ:	Internet Wurm

Dateigröße:	12.832 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/ME/2000/XP

Ursprung:	unbekannt

Datum:	31.10.2003

Schadensroutine:

VDF Version:	6.22.00.23

Allgemeine Beschreibung:

Worm/Mimail.C ist ein Wurm, der Daten von Anwendercomputern stiehlt. Für seine Verbreitung über Email verwendet er seine eigene SMTP-Engine.

Symptome:

Bleibt im Speicher

führt zu Instabilität des Systems

Infektionsweg:

Email Versand über eigene SMTP-Engine!

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Mimail.E

Kurzinformationen

Virusname:	Worm/Mimail.E

Alias:	W32.Mimail.D@mm, W32/Mimail@mm, WORM_MIMAIL.E

Viren Typ:	Wurm

Dateigröße:	10.784 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/ME/2000/XP

Ursprung:	unbekannt

Datum:	01.11.2003

VDF Version:	6.22.00.25

Schaden: 	low

Verbreitung:	high

Allgemeine Beschreibung:

Worm/Mimail.E ist ein Wurm, der Daten von Anwendercomputern stiehlt. Für seine Verbreitung über Email verwendet er seine eigene SMTP-Engine.

Symptome:

führt zur Instabilität des Systems

Infektionsweg:

Email Versand über eigene SMTP-Engine!

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Mimail.I

Kurzinformationen

Virusname:	Worm/Mimail.I

Alias:	W32.Paylap@mm, W32/Mimail-I

Viren Typ:	Wurm

Dateigröße:	12.832 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	unbekannt

Datum:	14.11.2003

VDF Version:	6.22.00.38

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Worm/Mimail.I ist ein Wurm, der sich als Online-Kreditkartenservice ausgibt. Er versendet sich als Email mit dem Betreff 'YOUR PAYPAL.COM ACCOUNT EXPIRES' und führt als Anhang die Datei 'www.paypal.com.scr' mit sich.

Symptome:

EL388.TMP und SVCHOST32.EXE befinden sich im Windows Ordner.

Infektionsweg:

Emailversand

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Mimail.L

Kurzinformationen

Virusname:	Worm/Mimail.L

Alias:	W32.Mimail.Gen, W32/Mimail.l@MM

Viren Typ:	Internet Wurm

Dateigröße:	11.296 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	unbekannt

Datum:	02.12.2003

Schadensroutine:

VDF Version:	6.22.00.54

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Der Worm/Mimail.L hat eine Dateigröße von 11.269 Bytes. Wird dieser ausgeführt, kopiert er sich in das Windows Verzeichnis als svchost.exe und XU39REU.TMP.

Der Wurm erstellt ein ZIP-Archiv unter dem Namen X8WUI12S.TMP.

Er durchsucht bestimmte Dateien auf dem lokalen Datenträger nach Emailadressen, an die er sich mit Hilfe seiner eigenen SMTP Engine versenden kann.

Infektionsweg:

Emailversand

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Mimail.q

Kurzinformationen

Virusname:  	Worm/Mimail.q

Alias: 	W32/Mimail.q@MM, WORM_MIMAIL.Q

Viren Typ: 	Wurm

Dateigröße: 	32.758 Bytes, 50.720 Bytes

Betriebsysteme: 	Microsoft Windows 9x/NT/2000/XP

Ursprung: 	 	-

Datum: 	26.01.2004

Schadensroutine: 	Emailversand, Backdoor Routine

VDF Version: 	 	6.23.00.45

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Der Worm/Mimail.q ist ein Wurm, der auf den lokalen Laufwerken nach Emailadressen sucht und sich mit Hilfe seiner eigenen STMP Engine an diese versendet. Er erstellt im Windows Verzeichnis eine polymorphe SYS32.EXE und eine statische OUTLOOK.EXE.

Der Wurm zeigt eine gefälschte Microsoft Dialog-Box, in welcher der Anwender aufgefordert wird, persönliche Daten einzugeben.

Infektionsweg:

Emailversand

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/MSN.Funner

Kurzinformationen

Virusname:  	Worm/MSN.Funner

Alias: 	WORM_FUNNER.A, W32.Funner

Viren Typ: 	Wurm

Dateigröße: 	56.320 Bytes

Betriebsysteme: 	Microsoft Windows 9x/ME/NT/2000/XP/Server 2003

Datum: 	10.10.2004

Schadensroutine: 	Verbreitung über MSN Messenger

VDF Version: 	 	6.28.00.08

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Wird Worm/MSN.Funner ausgeführt, kopiert dieser sich nach:

\%SystemDIR%\IEXPLORE.EXE

\%SystemDIR%\EXPLORE.EXE

\%SystemDIR%\userinit32.exe

\%WinDIR%\rundll32.exe

c:\funny.exe

und erstellt eine LOG Datei unter:

\%System%DIR\bsfirst2.log

Worm/MSN.Funner legt folgende Registry Einträge an:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon\
"Userinit"="userinit32.exe,"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
"MMSystem"="%WinDIR%\rundll32.exe "%SystemDIR%\mmsystem.dll"", RunDll32"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\
"MMSystem"="%WinDIR%\rundll32.exe "%SystemDIR%\mmsystem.dll"", RunDll32"

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\
"MMSystem"="%WinDIR%\rundll32.exe "%SystemDIR%\mmsystem.dll"", RunDll32"

Ebenfalls erstellt er folgenden Eintrag in der SYSTEM.INI von Windows an, damit er beim nächsten automatisch Systemstart ausgeführt wird.

Shell = %SystemDIR%\explorer.exe

Worm/MSN.Funner sendet die im C:\ Root abgelegte Datei FUNNY.EXE an alle im Windows Messenger aufgeführten Kontakte. Der Wurm ist in der Lage von der Webseite www.78p.com ausgewählte Komponenten downzuloaden und nachzuladen.

Er fügt einige Einträge in der Windows Hosts Datei hinzu.

Infektionsweg:

Verbreitung über den MSN Messenger

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Myba.A

Kurzinformationen

Virusname:	Worm/Myba.A

Alias:	W32/Myba@mm

Viren Typ:	Wurm

Dateigröße:	77,824 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	Asia

Datum:	02.03.2001

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Worm/Myba.A ist eine Win32-Anwendung und wurde in Visual Basic geschrieben. Myba versendet sich als Email über Microsoft Outlook und benutzt dazu die Adressen, die im Outlook Adressbuch eingetragen sind. Eine solche Email sieht folgendermaßen aus:

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/MyDoom

Kurzinformationen

Virusname:  	Worm/MyDoom

Alias: 	 	W32/Novarg@mm, Shimgapi

Viren Typ: 	Wurm

Dateigröße: 	 	22.528 Bytes

Betriebsysteme: 	Microsoft Windows 9x/NT/2000/XP/Server 2003

Ursprung: 	 	Russland

Datum: 	 	26.01.2004

Schadensroutine: 	Verbreitung über Email und dem P2P Netzwerk KaZaA,

 	Startet eine DoS-Attacke, Backdoor Routine

VDF Version: 	6.23.0.47

Schaden:	low

Verbreitung:	high!

Allgemeine Beschreibung:

Worm/MyDoom verbreitet sich über den Versand von Emails, wie auch über das P2P Netzwerk KaZaA. Wird der Wurm ausgeführt, öffnet dieser die Windows Notepad.exe (Editor) und zeigt eine Datei mit dem Namen MESSAGE. an. In dieser bekommt der Anwender nur 'Datenmüll' zu sehen.

Der Wurm erstellt im Windows Systemverzeichnis eine Datei mit dem Namen "SHIMGAPI.DLL". Diese enthält eine Backdoor Komponente, welche potentielle Angreifer Zugriff über die TCP Ports 3127 bis 3198 auf den Rechner erlaubt.

Worm/MyDoom startet am 1.Februar eine DoS Attacke auf die Webseite von SCO.COM.

Symptome:

Windows Notepad.exe (Editor) mit Datenmüll wird geöffnet

Die Datei Shimgapi.dll ist im Windows Systemverzeichnis vorhanden

Infektionsweg:

Emailversand mit Hilfe seiner eigenen SMTP Engine

Verbreitung über das P2P Netzwerk KaZaA mit Hilfe der gesharten Verzeichnisse

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/MyDoom.B

Kurzinformationen:

Virusname:  	Worm/MyDoom.B

Alias: 	W32/Novarg.B@mm

Viren Typ: 	Wurm

Dateigröße: 	29.184 Bytes

Betriebsysteme: 	Microsoft Windows 9x/NT/2000/XP/Server 2003

Ursprung: 	Russland

Datum: 	28.01.2004

Schadensroutine: 	Verbreitung über Email und dem P2P Netzwerk KaZaA,

 	startet eine DoS-Attacke, Backdoor Routine

VDF Version: 	6.23.0.51

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Worm/MyDoom.B verbreitet sich über den Versand von Emails, wie auch über das P2P Netzwerk KaZaA.

Der Wurm erstellt im Windows Systemverzeichnis eine Datei mit dem Namen "CTFMON.DLL". Diese enthält eine Backdoor Komponente, welche potentiellen Angreifern Zugriff auf den Rechner erlaubt.

Worm/MyDoom.B startet am 1.Februar eine DoS Attacke auf die Webseiten von SCO.COM und Microsoft.com

Symptome:

 Die Datei ctfmon.dll ist im Windows Systemverzeichnis vorhanden

Infektionsweg:

Emailversand mit Hilfe seiner eigenen SMTP Engine

Verbreitung über das P2P Netzwerk KaZaA mit Hilfe der gesharten Verzeichnisse

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/MyDoom.F

Kurzinformationen:

Virusname:	Worm/MyDoom.F

Alias:	I-Worm.Mydoom.F, W32/Mydoom.f@MM,

 	W32/Mydoom.F.worm, W32/MyDoom-F,  WORM_MYDOOM.F

Viren Typ:	Wurm

Dateigröße:	34,568 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP/Server 2003

Ursprung:	unbekannt

Datum:	20.02.2004

Schadensroutine:	Verbreitung über Email und gemappte Netzlaufwerke

 	Startet eine DoS-Attacke, Backdoor Routine

VDF Version:	6.24.00.12

Schaden:	low

Verbreitung;	medium

Allgemeine Beschreibung:

Worm/MyDoom verbreitet sich über den Versand von Emails. Wird der Wurm ausgeführt, erscheint eine gefälschte Fehlermeldung. Er kopiert sich mit einem zufälligem Dateinamen ins Windows-System-Verzeichnis und erstellt eine dll Datei im Windows-System-Verzeichnis, ebenfalls mit einem zufälligem Dateinamen.

Desweiteren kopiert er sich "zip"-gepackt in verschiedene Verzeichnisse des lokalen Datenträgers und auf gemappte Netzlaufwerke die auch einen zufälligen Dateinamen haben.

Symptome:

  Es erscheint eine gefälschte Fehlermeldung: "File is corrupted"

Infektionsweg:

Emailversand mit Hilfe seiner eigenen SMTP-Engine

Verbreitung über gemappte Netzlaufwerke

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/MyDoom.G

Kurzinformationen

Virusname:	Worm/Mydoom.G

Alias:	W32/Mydoom.g@MM, W32.Mydoom.G@mm

Viren Typ:	Wurm

Dateigröße:	29.696 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP/Server 2003

Ursprung:	unbekannt

Datum:	02.03.2004

Schadensroutine:	Versendet sich per Email

VDF Version:	6.24.00.35

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Dieser Wurm verschickt sich wie schon seine Vorgänger an Email-Adressen welche er auf dem System findet.

Symptome:

Offener TCP Port 1080

Vorhandensein bestimmter Dateien und Registry Einträge (siehe Webseite)

erhöhter Email-Traffic

Notepad wird mit "Datenmüll" geöffnet

Infektionsweg:

Emailversand mit Hilfe seiner eigenen SMTP Engine

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/MyDoom.T

Kurzinformationen:

Virusname:	Worm/MyDoom.T

Alias:	I-Worm.MyDoom.gen; W32/MyDoom-Gen; Win32.Mydoom.S@mm

Viren Typ:	Wurm

Dateigröße:	37.888 Bytes

Betriebsysteme:	Microsoft Windows 95/98/ME/NT/2000/XP/Server 2003

Datum:	03.09.2004

Schadensroutine:	Öffnet TCP Port und verschickt sich per Email.

VDF Version:	6.27.00.46

Schaden:	medium

Verbreitung;	medium

Allgemeine Beschreibung:

Wird der Dateianhang der Email ausgeführt so wird Notepad.exe gestartet. Das Fenster hat folgendes Aussehen:

Desweiteren öffnet die Backdoorkomponente des Wurmes den TCP Port 5422 dauerhaft und wartet auf eingehende Verbindungen.

Eine Kopie des Wurmes wird im %System% Verzeichnis unter dem Dateinamen tasker.exe erstellt. Damit der Wurm bei einem Systemstart wieder mit geladen wird erstellt er folgenden Registry Eintrag:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Task"="\\tasker.exe"

Außerdem wird die Datei Nemog.dll (8.192 bytes) im %System% Verzeichnis erstellt. Damit die DLL bei einem Systemstart geladen wird erstellt er folgenden Registry Eintrag:

[HKEY_CLASSES_ROOT\CLSID\{E6FB5E20-DE35-11CF-9C8 7-00AA005127ED}\InProcServer32]
@="\\Nemog.dll"
"ThreadingModel"="Apartment"

Folgende Nachricht is im Wurm zu lesen:

MSG To SkyNet-Netsky: i know skynet is sucks so fuck off and i will complete my projects ok baby!,the second author for mydoom worms!!, he will complete the project, more is coming soon better than better,Kuwait.

Symptome:

Vorhandensein der oben genannten Dateien und Registry-Einträge

Öffnen von Notepad.exe mit oben angezeigtem Inhalt

Infektionsweg:

Emailversand mit Hilfe seiner eigenen SMTP-Engine

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/MyDoom.U

Kurzinformationen:

Virusname:	Worm/MyDoom.U

Alias:	I-Worm/Mydoom.U, W32/Mydoom.U.worm

Viren Typ:	Wurm

Dateigröße:	18.200 Bytes

Betriebsysteme:	Microsoft Windows 95/98/ME/NT/2000/XP/Server 2003

Datum:	09.09.2004

Schadensroutine:	Verschickt Emails mit einer Kopie seiner selbst und lädt ein Trojanisches Pferd herunter.

VDF Version:	6.27.00.52

Schaden:	medium

Verbreitung;	medium

Allgemeine Beschreibung:

Nachdem der Wurm gestartet wurde werden folgende Registry Einträge gemacht:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"WinSPF"="\\winspf32.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\User Agent]
"Version"="FrankenShteiN"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\5.0\User Agent]
"Version"="FrankenShteiN"

Kopien seiner selbst werden in folgenden Verzeichnissen erstellt:

%sysdir%\winspf32.exe

%startup%\rx32hh00.exe

Der Wurm enthält außerdem folgenden Textstring:

"We searching 4 work in AV industry."

Der Wurm durchsucht das System nach Emailadressen in verschiedenen Dateien.

Der Wurm verschickt sich umgehend an die gefundenen Emailadressen. Außerdem verschickt der wurm Emails an selbst generierte Emailadressen.

Nachdem der Wurm sich per Email verschickt hat lädt er ein Trojanisches Pferd herunter.

Infektionsweg:

Emailversand

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Mylife.M

Kurzinformationen

Virusname:	Worm/Mylife.M

Alias:	W32/Mylife.M-mm, W32.Mylife.N@mm, Win32/Juli.A

Viren Typ:	Internet Wurm

Dateigröße:	8.192 Bytes

Betriebsysteme:	Microsoft Windows 9x/ME/NT/2000/XP

Ursprung:	-

Datum:	04.07.2003

Schadensroutine:	Massenmailer

VDF Version:	6.20.00.31

Schaden:	low

Verbreitung:	low

Allgemeine Beschreibung:

Dieser Internet Wurm verschickt sich an alle Einträge im Outlook Adressbuch.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Naco.D

Kurzinformationen

Virusname:	Worm/Naco.D

Alias:	I-Worm.Win32.Naco.D

Viren Typ:	Internet Wurm

Dateigröße:	45.568 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	unbekannt

Datum:	12.06.2003

VDF Version:	6.19.00.08

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Eine allgemeine Virenbeschreibung ist zu diesem Virus  nicht vorhanden..

Symptome:

Aktive Prozesse von Firewall- und Antvirensoftware bzw. Firewalls werden beendet.

Infektionswege:

Email

Lokale Netzwerke

P2P Netzwerke

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Nedal

Kurzinformationen

Virusname:	Worm/Nedal

Alias:	I-Worm.Melhack; OsamaLaden.vbs

Viren Typ:	Wurm, PE Infektor und Trojaner

Dateigröße:	122.664 Bytes

Betriebsysteme:  	Microsoft Windows 9x/NT/2000/XP

Ursprung: 	~

Datum:	12.09.2002

Schaden:	medium

Verbreitung:	low

Allgemeine Beschreibung:

Worm/Nedal versendet sich per Email, infiziert Dateien mit der Endung .EXE und löscht Dateien aus dem Windows Systemverzeichnis.

Symptome:

Eine Dateigrößen Zunahme um 40960 Bytes bei allen .EXE Dateien im Windows Verzeichnis

Vorhandensein bestimmter Dateien und Registry Einträge (siehe Webseite)

Infektionsweg:

Verbreitet sich über Email als ausführbare .EXE

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Netsky.AA

Kurzinformationen:

Virusname:  	Worm/Netsky.AA

Alias: 	WORM_NETSKY.AA, W32/Netsky.aa@MM, Win32.Netsky.AA, W32/Netsky-AA, W32.Netsky.X@mm, W32.Netsky.Y@mm

Viren Typ: 	Wurm

Dateigröße: 	17.408 Bytes

Betriebsysteme: 	Microsoft Windows 95/98/ME/NT/2000/XP

Datum: 	27.04.2004

Schadensroutine: 	Verbreitung über Email

VDF Version: 	6.25.00.60

Schaden:	low

Verbreitung:	high

Allgemeine Beschreibung:

Wird der Wurm Netsky.AA ausgeführt, kopiert er sich nach

%WinDIR%\Winlogon.scr

und erstellt folgenden Registry Eintrag, damit er beim nächsten Systemstart automatisch ausgeführt wird:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Cu rrentVersion\Run
"SkynetRevenge"="%WinDIR%\winlogon.scr"

Der Wurm vergewissert sich, ob kein weiterer Task von sich selbst bereits auf dem System aktiv ist.

Der Wurm durchsucht die Laufwerke C bis Z (ausgenommen die CD-ROM Laufwerke) und sammelt alle E-Mail Adressen von den Dateien mit verschiedenen Erweiterungen. E-Mail Adressen verschiedener Antiviren-Hersteller werden ignoriert.

Sympthome

Vorhandensein verschiedener Dateien und Registrierungseinträge

Infektionsweg

Der Wurm nutzt seine eigene SMTP Engine um sich nach xdfggra@yahoo.com und an alle E-Mail Adressen zu schicken, die er findet.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/NetSky.AD

Kurzinformationen:

Virusname:  	Worm/Netsky.AD

Alias: 	W32.Netsky.AD@mm

Viren Typ: 	Wurm

Dateigröße: 	31.232 bytes

Betriebsysteme: 	Microsoft Windows 95/98/ME/NT/2000/XP/Server 2003

Datum: 	14.10.2004

Schadensroutine: 	Verbreitung über Email

VDF Version: 	6.28.00.16

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Worm/NetSky.AD ist ein Massenmailer, der seine eigene SMTP Engine nutzt um sich selbst an die Emailadressen zu versenden, die er auf dem infizierten System findet.

Nachdem der Wurm gestartet wurde legt er den folgenden Registryeintrag an:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
"MsnMsgr"="%WinDIR%\MsnMsgrs.exe -alev"

Folgende Einträge löscht der Wurm aus der Registry, wenn sie vorhanden sind:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
"Taskmon"=
"Explorer"=
"KasperskyAv"=
"system."=

HKEY_CLASSES_ROOT\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}\
"InProcServer32"=

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
"Taskmon"=
"Explorer"=

Wenn Worm/NetSky.AD gestartet wurde wird eine Nachrichtenbox mit folgendem Text angezeigt:

"File Corrupted replace this!!"

und kopiert sich nach \%WinDIR%\Msnmsger.exe. Der Wurm erzeugt ZIP Archive, welche im Windows Verzeichnis mit verschiedenen Dateinamen erstellt werden.

Der Wurm kopiert sich in alle Dateiordner bei denen die Bezeichnung das Wort "share" bzw. "sharing" enthalten. Dies macht er von Laufwerk C: bis Laufwrk Z: unter Benutzung verschiedener Dateibezeichnungen.

Sympthome:

Vorhandensein verschiedener Dateien und Registrierungseinträge

Infektionsweg:

Worm/NetSky.AD versendet sich selbst an die Emailadressen, die er auf dem Computer findet.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/NetSky.B

Kurzinformationen

Virusname:	Worm/NetSky.B

Alias:	Moodown.B

Viren Typ:	Wurm

Dateigröße:	22.016 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	unbekannt

Datum:	18.02.2004

Schadensroutine:	Emailversand

VDF Version:	6.24.00.09

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Worm/NetSky.B ist ein reiner Massenmailer, welcher aber auch in der Lage ist sich über freigegebene Verzeichnisse zu verbreiten. Er hat eine Dateigröße von 22016 Bytes und ist mit dem Laufzeitpacker UPX gepackt.

Symptome:

Beim Aufruf wird eine gefälschte Meldung mit folgendem Text ausgegeben:

         "The file could not be opend!"

Infektionswege:

Emailversand

freigegebene Verzeichnisse

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/NetSky.C

Kurzinformationen

Virusname:	Worm/NetSky.C

Alias:	W32/Netsky.c@MM, I-Worm.Moodown.c

Viren Typ:	Wurm

Dateigröße:	25.352 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	unbekannt

Datum:	25.02.2004

Schadensroutine:	Emailversand

VDF Version:	6.24.00.19

Schaden:	low

Verbreitung:	high!

Allgemeine Beschreibung:

 Worm/NetSky.C ist ein Massenmailer, mit einer Größe von 25.352 Bytes. Er nutzt seine eigene SMTP Engine zum Versand von Emails. Somit ist der Wurm auf keinen Email-Client mehr angewiesen. Er durchsucht Dateien auf allen lokalen Laufwerken und freigegebenen Verzeichnissen nach Emailadressen, an die er sich versenden kann.

Eine von Worm/NetSky.C versendete Email kann unterschiedliches aussehen besitzen. Hierzu nutzt der Wurm eine Liste mit Wörtern und Sätzen, die er wahllos zusammensetzt, zum Versand.

Der Wurm kopiert sich in das Windows Verzeichnis als WINLOGON.EXE  und legt einen passten Eintrag in der Windows Registry an.

Symptome:

Sollte das System Datum zwischen 6:00 und 8:00 Uhr am 26.Februar 2004 stehen, so gibt der Computer Lautsprecher einen kontinuierlichen Peepton von sich.

Infektionswege:

Emailversand mit Hilfe seiner eigenen SMTP Engine

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/NetSky.D

Kurzinformationen

Virusname:	Worm/NetSky.D

Alias:	W32/Netsky.D@MM, I-Worm.Moodown.d

Viren Typ:	Wurm

Dateigröße:	17.424 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	unbekannt

Datum:	01.03.2004

Schadensroutine:	Emailversand

VDF Version:	6.24.00.293

Schaden:	low

Verbreitung:	high!

Allgemeine Beschreibung:

Worm/NetSky.D ist ein Massenmailer, mit einer Größe von 17.424 Bytes. Er nutzt seine eigene SMTP Engine zum Versand von Emails. Somit ist der Wurm auf keinen Email-Client mehr angewiesen. Er durchsucht Dateien auf allen lokalen Laufwerken und freigegebenen Verzeichnissen nach Emailadressen, an die er sich versenden kann.

Eine von Worm/NetSky.D versendete Email kann unterschiedliches aussehen besitzen. Hierzu nutzt der Wurm eine Liste mit Wörtern und Sätzen, die er wahllos zusammensetzt, zum Versand.

Der Wurm kopiert sich in das Windows Verzeichnis als WINLOGON.EXE  und legt einen passten Eintrag in der Windows Registry an.

Infektionsweg:

Emailversand mit Hilfe seiner eigenen SMTP Engine

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/NetSky.E

Kurzinformationen

Virusname:	Worm/NetSky.E

Alias:	W32/Netsky.E@MM, I-Worm.Moodown.e

Viren Typ:	Wurm

Dateigröße:	24.840 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	unbekannt

Datum:	01.03.2004

Schadensroutine:	Emailversand

VDF Version:	6.24.00.31

Schaden:	low

Verbreitung:	high!

Allgemeine Beschreibung:

 Worm/NetSky.E ist ein Massenmailer, mit einer Größe von 24.840 Bytes. Er nutzt seine eigene SMTP Engine zum Versand von Emails. Somit ist der Wurm auf keinen Email-Client mehr angewiesen. Er durchsucht Dateien auf allen lokalen Laufwerken und freigegebenen Verzeichnissen nach Emailadressen, an die er sich versenden kann.

Eine von Worm/NetSky.E versendete Email kann unterschiedliches aussehen besitzen. Hierzu nutzt der Wurm eine Liste mit Wörtern und Sätzen, die er wahllos zusammensetzt, zum Versand.

Der Wurm kopiert sich in das Windows Verzeichnis als WINLOGON.EXE  und legt einen passten Eintrag in der Windows Registry an.

Infektionsweg:

Emailversand mit Hilfe seiner eigenen SMTP Engine

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/NetSky.J

Kurzinformationen

Virusname:	Worm/Netsky.J

Alias:	W32.Netsky.J@mm, NetSky.J, W32/Netsky-K, Win32.Netsky.K, WORM_NETSKY.K

Viren Typ:	Wurm

Dateigröße:	27.648 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP/Server 2003

Ursprung:	unbekannt

Datum:	08.03.2004

Schadensroutine:	Versendet sich per Email

VDF Version:	6.24.00.44

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Dieser Wurm verschickt sich wie schon seine Vorgänger an Email-Adressen welche er auf dem System findet.

Symptome:

erhöter Email Traffic

Infektionsweg:

Emailversand mit Hilfe seiner eigenen SMTP Engine

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/NetSky.K

Kurzinformationen

Virusname:	Worm/Netsky.K

Alias:	W32.Netsky.K@mm, W32/Netsky-J, Win32.Netsky.J, W32/Netsky.j@MM

Viren Typ:	Wurm

Dateigröße:	22.016 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP/Server 2003

Ursprung:	unbekannt

Datum:	08.03.2004

Schadensroutine:	Versendet sich per Email

VDF Version:	6.24.00.44

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Dieser Wurm verschickt sich wie schon seine Vorgänger an Email-Adressen welche er auf dem System findet.

Symptome:

erhöter Email Traffic

Infektionsweg:

Emailversand mit Hilfe seiner eigenen SMTP Engine

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/NetSky.Y

Kurzinformationen

Virusname:	Worm/Netsky.Y

Alias:	W32.Netsky.Y@mm, W32/Netsky-Y

Viren Typ:	Wurm

Dateigröße:	18.944 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP/Server 2003

Ursprung:	unbekannt

Datum:	20.04.2004

Schadensroutine:	Versendet sich per Email, DoS Attacken

VDF Version:	6.25.00.21

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Dieser Wurm verschickt sich wie schon seine Vorgänger an Email-Adressen welche er auf dem System findet. Zusätzlich führt er DoS (Denial of Service) Attacken auf die Seiten von www.nibis.de, www.medinfo.ufl.edu und www.educa.ch.

Symptome:

erhöhter Email Verkehr

Infektionsweg:

Emailversand mit Hilfe seiner eigenen SMTP Engine

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/NiceHello

Kurzinformationen

Virusname:	Worm/NiceHello

Alias:	W32/NiceHello@mm

Viren Typ:	Email Worm

Dateigröße:	99.328 bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	~

Datum:	12.03.2003

Schadensroutine:	Worm/NiceHello versendet sich mit Hilfe seiner eigenen SMTP Engine per Email. Er kopiert sich in das System

Verzeichnis von Windows unter dem Dateinamen  'Sys64dvr.exe' (99.328 Bytes) und erstellt einen Run Eintrag in der

Registry.

VDF Version:	6.18.00.xx

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Eine allgemeine Virenbeschreibung ist zu diesem Virus  nicht vorhanden..

Symptome:

Vorhandensein bestimmter Dateien und Registry Einträge (siehe Webseite)

Infektionsweg:

Der Wurm hat eine eigene SMTP Engine und versendet sich an alle Emailadressen die der auf dem infizierten Computer findet.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/OpaSoft

Kurzinformationen

Virusname:	Worm/OpaSoft

Alias: 	W32/OpaServ.Worm  Worm/Opasoft.B und Worm/Opasoft.C

Viren Typ: 	 	Wurm

Dateigröße: 	 	28.672 Bytes

Betriebsysteme: 	 	Microsoft Windows 9x/NT/2000/XP

Ursprung: 	 	~

Datum: 	 	30.09.2002

Schaden:	low

Verbreitung: 	medium

Allgemeine Beschreibung:

Worm/OpaSoft verbreitet sich über Netzlaufwerke mit dem Dateinamen 'SvrScr.exe'. Ebenfalls versucht er ein Update von der Webseite www.opasoft.com herunter zu laden.

Symptome:

Vorhandensein bestimmter Dateien und Registry Einträge (siehe Webseite)

Erheblicher Traffic auf Port 139 (UDP)

Infektionsweg:

Worm/OpaSoft sucht nach Verzeichnissen, die über das Netzwerk gemappt wurden und kopiert sich, sofern er Schreibzugriff besitzt, in das jeweilige Verzeichnis als ScrSvr.exe.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Padobot.A

Kurzinformationen

Virusname:	Worm/Padobot.A

Alias:	W32.Korgo.A, Worm.Win32.Padobot.b, Exploit-Lsass.gen

Viren Typ:	Wurm

Dateigröße:	34.880 bytes

Betriebsysteme:	Microsoft Windows 95/98/ME/NT/2000/XP

Datum:	22.05.2004

Schadensroutine:	Nutzt "LSASS Windows" Sicherheitslücke aus.

VDF Version:	6.25.00.70

Schaden:	medium

Verbreitung:	medium

Allgemeine Beschreibung:

Nachdem der Wurm Padobot.A ausgeführt wurde, löscht er die Datei go.exe aus dem Verzeichnis, in dem er ausgeführt wurde. Der Wurm erstellt die Mutexes "r10", "u2" und "uterm5" um sich zu vergewissern, dass kein weiterer Task von sich auf dem System aktiv ist.
Der Wurm startet eine Attacke, auf dem TCP Port 445, indem er die Sicherheitslücke LSASS von Windows ausnützt. Wenn er damit erfolgreich ist versucht der erreichte PC kontakt mit dem Host-Pc aufzunehmen und ladet den Wurm herunter.

Symptome:

Computer kann nicht herunter gefahren werden.

Infektionsweg:

Der Wurm Padobot.A hört die TCP Ports 113, 3067 und 2014 ab.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Paukor

Kurzinformationen

Virusname:	Worm/Paukor

Viren Typ:	Wurm

Dateigröße:	416.256 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Datum:	27.11.2001

Schaden:	medium

Verbreitung:	low

Allgemeine Beschreibung:

W32.Paukor ist ein Wurm, der sich über Microsoft Outlook versendet.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Pikachu

Kurzinformationen

Virusname:	Worm.Pikachu

Alias:	WIN32/Pikachu.32768

Viren Typ:	Internet Wurm

Dateigröße:	32.768 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	South America

Datum:	20.09.2000

Schaden:	high

Verbreitung:	low

Allgemeine Beschreibung:

Der neue Internet-Wurm Pikachu (alias Pokey) versendet sich nach dem Ausführen - wie auch schon der VBS-Virus "I love you" - via MS Outlook an alle Kontakte im Adressbuch. Jedoch ist er kein VBS-Wurm sondern eine normale Anwendung (.exe).

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Rbot.LE

Kurzinformationen

Virusname:	Worm/Rbot.LE

Alias:	WORM_SDBOT.UH

Viren Typ:	Wurm

Dateigröße:	151.552 Bytes

Betriebsysteme:	Microsoft Windows 2000/XP

Datum:	14.09.2004

Schadensroutine:	Stiehlt CD-Keys und Passwörter. Fernsteuerung des PCs.

VDF Version:	6.27.0.47

Schaden:	medium

Verbreitung:	medium

Allgemeine Beschreibung:

Der Wurm erzeugt eine Kopie seiner selbst im %system% Verzeichnis mit dem Dateinamen "dveldr.exe". Die gestartete Datei wird sofort danach gelöscht.

Damit der Wurm nach dem nächsten Systemneustart wieder mitgeladen wird werden folgende Registryeinträge angelegt:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Microsoft Time Manager"="dveldr.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
"Microsoft Time Manager"="dveldr.exe"

[HKEY_CURRENT_USER\Software\Microsoft\OLE]
"Microsoft Time Manager"="dveldr.exe"

Desweiteren versucht der Wurm sich in einen IRC Channel auf dem Server "lol.kessef.org" einzuloggen. Zum Zeitpunkt der Analyse war dieser jedoch nicht mehr erreichbar.

Worm/Rbot.LE versucht CD-Keys von verschiedenen Computer-Spielen zu stehlen.

Diese neue Variante enthält erstmals einen Netzwerksniffer der den PC nach verschiedenen Strings durchsucht.

Außerdem nutzt der Wurm verschiedene Sicherheitslöcher um sich Zugriff zu anderen Systemen zu verschaffen. Hat der Wurm so eine Sicherheitslücke ausgenutzt erzeugt er eine Batchdatei. Diese Batchdatei lädt mit Hilfe des Programmes ftp.exe eine Kopie des Wurmes auf den PC und startet diesen.

Infektionsweg:

Ausnützen von Sicherheitslücken im Windows-System

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Reniets.A

Kurzinformationen

Virusname:	Worm/Reniets.A

Viren Typ:	Wurm

Dateigröße:	151.552 Bytes

Betriebsysteme:	Microsoft Windows 9x/ME/NT/2000/XP/Server 2003

Datum:	15.09.2004

Schadensroutine:	Bietet Dateien in IRC Server zum download an. Startet einen HTTP Server. Beendet verschiedene Tasks und verschickt Emails.

Schaden:	medium

Verbreitung:	low

Allgemeine Beschreibung:

Nachdem der Wurm ausgeführt wurde macht er folgenden Registryeintrag:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Windows HTML file reader"="C:\\WINDOWS\\Sysconf32.exe"

Eine Kopie des Wurmes wir im %windir% Verzeichnis mit dem Dateinamen "Sysconf32.exe" erstellt und die gestartete Datei wird gelöscht.

Außerdem werden folgende Dateien erstellt:

c:\ReAd_ThiS_ShiT.txt (673 Bytes)

c:\StpLogs.vbs (2.465 Bytes)

c:\hiden.bat (114 Bytes - Datei wird sofort wieder gelöscht)

c:\ahah.bat (15.740 Bytes - Datei wird sofort wieder gelöscht)

Der Wurm zeigt sofort nach dem Start noch folgende Meldung an:

Es wird versucht eine Verbindung mit dem IRC Server "irc.tehnicom.net" herzustellen. Dort werden Dateien zum download angeboten. Diese Dateien werden zuvor im Verzeichnis "%windir%\Systembck\" erstellt und sind kopien der Wurmdatei.

Die Datei "ReAd_ThiS_ShiT.txt" hat folgenden Inhalt:

Die Datei "hiden.bat" setzt das Dateiattribut aller Dateien im Verzeichnis "%windir%\Systembck\" auf "versteckt".

Die Datei "ahah.bat" versucht verschiedene Prozesse zu beenden.

Ein Webserver wird auf einem variablen Port gestartet. Wird auf diesen zugegriffen so sieht man die Dateiliste der erstellten Dateien:

Die Datei "StpLogs.vbs" sucht nach Emailadressen in folgenden Dateien und schickt eine Kopie des Wurmes an diese:

dbx

htm

html

php

Infektionsweg:

Emailversand

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Sasser.A

Kurzinformationen

Virusname:	Worm/Sasser.A

Alias:	Sasser

Viren Typ:	Wurm

Dateigröße:	15.872 Bytes

Betriebsysteme:	Microsoft Windows 2000/XP/Server 2003

Ursprung:	unbekannt

Datum:	01.05.2004

Schadensroutine:	Nutzt Sicherheitslücke LSASS aus

VDF Version:	6.25.00.42

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Worm/Sasser.A hat eine Dateigröße von 15.872 Bytes und kopiert sich als avserve.exe in das Windows Systemverzeichnis. Er nutzt die LSASS (Local Security Authority Subsystem Service) Sicherheitslücke von Microsoft aus.

Sollten nicht alle Patches von Microsoft eingespielt sein oder keine aktive Firewall zum Internet bestehen, kann der Wurm sich auf dem Windows XP oder Windows 2000 System installieren..

Symptome:

Im Root von Laufwerk C: findet sich eine Datei namens WIN.LOG

Infektionsweg:

LSASS Sicherheitslücke von Microsoft

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Sasser.G

Kurzinformationen

Virusname:	Worm/Sasser.G

Alias:	W32.Sasser.Worm

Viren Typ:	Wurm

Dateigröße:	58.880 Bytes

Betriebsysteme:	Microsoft Windows 95/98/ME/NT/2000/XP/Server 2003

Ursprung:	unbekannt

Datum:	27.08.2004

Schadensroutine:	verursacht Leistungseinbußen, verhindert das Herunterfahren

VDF Version:	6.27.00.35

Schaden:	medium

Verbreitung:	medium

Allgemeine Beschreibung:

Wird Worm/Sasser.G ausgeführt, so kopiert er sich nach:

%Windir%\avserve3.exe

%Windir%\wserver.exe

Des Weiteren erstellt er folgende Win PE Dateien, die den Code von Worm/NetSky enthalten:

erstellt %Windir%\skynet.cpl

erstellt %Windir%\comp.cpl

Um bei einem Neustart des Computer wieder gestartet zu werden, fügt der Wurm Einträge in die Systemregistrierung hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Cu rrentVersion\Run
"avserve3.exe"="%Windir%\avserv3.exe"
"wserver"="%Windir%\wserver.exe"

Worm/Sasser.G erzeugt die Mutex 'PinaasoSky' und 'Jobaka3'.

Symptome:

Leistungseinbußen

PC lässt sich nicht herunterfahren

Infektionsweg:

Um sich zu verbreiten, startet Worm/Sasser.G einen FTP Server auf dem infizierten Rechner. Dannach generiert er zufällige IP Adressen und versucht sich mit diesen zu verbinden. Sollte das gelingen, öffnet er eine Verbindung zwischen der IP Adresse und dem FTP Server um sich schließlich auf den Client zu kopieren.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Scold.A

Kurzinformationen

Virusname:	Worm/Scold.A

Alias:	W32/Scold@MM, Win32.Scold.A, W32.Scold@mm

Viren Typ:	Internet Wurm

Dateigröße:	28.160 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	unbekannt

Datum:	11.12.2003

Schadensroutine:	~

VDF Version:	6.22.00.06

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Der Worm/Scold.A hat eine Dateigröße von 28.160 Bytes. Nach seiner Aktivierung kopiert er sich als warm.scr und pf17.scr in das Windows- Verzeichnis. Anschließend wird ein Fenster mit dem Bild eines Robbenbabys eingeblendet. Worm/Scold.A verschickt sich per Email weiter.

Infektionsweg:

Emailversand

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Sober

Kurzinformationen

Virusname:	Worm/Sober

Alias:	I-Worm.Sober, W32/Sober.A, Win32/Sober.A, W32/ Sober@MM, W32.Sober@MM

Viren Typ:	Wurm

Dateigröße:	~63,488 bytes

Betriebsysteme:	Microsoft Windows 9x/NT/ME/2000/XP

Ursprung:	Deutschland

Datum:	24.10.2003

Schadensroutine:	überschreibt Dateien

VDF Version:	6.22.00.15

Schaden:	medium

Verbreitung:	high

Allgemeine Beschreibung:

Worm/Sober versendet sich über seine eigene SMTP-Engine an die im Rechner gespeicherten Email-Adressen. Die Email mit deutschem Betreff enthält Datei-Anhänge mit den Erweiterungen .exe, .pif, .bat, .scr oder .com

Symptome:

Nach dem Ausführen des Wurms erscheint eine gefakte Fehlermeldung:

Infektionsweg:

Email-Versand über eigene SMTP-Engine und über Kazaa via "My Shared Folder"

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Sober.B

Kurzinformationen

Virusname:	Worm/Sober.B

Alias:	I-Worm.Sober.b

Viren Typ:	Internet Wurm

Dateigröße:	54.784 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	~

Datum:	18.12.2003

Schadensroutine:	Schützt sich selbst über zwei Prozesse, Emailversand

VDF Version:	6.23.00.13

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Worm/Sober.B ist in Visual Basic 6 programmiert und hat eine Dateigröße von 54.784 Bytes. Er versendet sich über seine eigene SMTP-Engine an alle Emailadressen, die er auf dem lokalen Datenträger findet.

Symptome:

Nach dem Ausführen des Wurms erscheint eine gefälschte Fehlermeldung: "Header is missing":

Infektionsweg:

Email-Versand über eigene SMTP-Engine

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Sober.C

Kurzinformationen

Virusname:	Worm/Sober.C

Alias:	I-Worm.Sober.C, W32.Sober.C@mm, Win32.Sober.C@mm

Viren Typ:	Wurm

Dateigröße:	variabel, ~72 kbyte

Betriebsysteme:	Microsoft Windows 9x/NT/ME/2000/XP

Ursprung:	Deutschland

Datum:	20.12.2003

Schadensroutine:	überschreibt Dateien

VDF Version:	6.23.00.17

Schaden:	medium

Verbreitung:	high

Allgemeine Beschreibung:

Worm/Sober.C versendet sich über seine eigene SMTP-Engine direkt an im Rechner vorhandene Email-Adressen. Er verwendet je nach Zieldomain eine Email mit deutschem oder englischem Betreff. Das Attachment enthält einen Datei-Anhang mit den Erweiterungen .exe, .pif, .bat oder .com.

Symptome:

Nach dem Ausführen des Wurms erscheint eine gefälschte Fehlermeldung wobei "%FILENAME%" der Dateiname des Wurmes ist.

Infektionsweg:

Email-Versand über eigene SMTP-Engine sowie über P2P-Filesharing Programme wie zum Beispiel "Kazaa" oder "Edonkey"

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Sober.D

Kurzinformationen

Virusname:	Worm/Sober.D

Alias:	I-Worm.Sober.D, W32.Sober.D@mm, Win32.Sober.D@mm

Viren Typ:	Wurm

Dateigröße:	33.792 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP/Server 2003

Ursprung:	unbekannt

Datum:	08.03.2004

Schadensroutine:	Versendet sich per Email

VDF Version:	6.24.00.43

Schaden:	medium

Verbreitung:	high

Allgemeine Beschreibung:

Worm/Sober.D versendet sich über seine eigene SMTP-Engine an Email Adressen die er auf dem Rechner findet. Er verwendet je nach Zieldomain eine E-Mail mit deutschem oder englischem Betreff und Inhalt. Das Attachment besteht aus einer Datei mit den Erweiterungen .exe oder .zip

Symptome:

Nach Ausführen des Wurms erscheint eine Meldung, wobei "%Dateiname%" der Dateiname des Wurmes ist:

Infektionsweg:

Emailversand mit Hilfe seiner eigenen SMTP Engine

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Sobig.A

Kurzinformationen

Virusname:	Worm/Sorbig.A

Alias:	Win32.Sorbig.A@mm

Viren Typ:	Internet Wurm

Dateigröße:	65.536 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	~

Datum:	09.01.2003

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Worm/Sorbig.A sucht in  *.txt, *.eml, *.html, *.htm, *.dbx, und *.wab Dateien nach Emailadressen und versendet sich an diese. Eine Trojaner - Komponente wird aus dem Internet gedownloaded.

Symptome:

Vorhandensein bestimmter Dateien und Registry Einträge (siehe Webseite)

Eine Backdoor- Komponente wird aus dem Internet heruntergeladen.

Infektionsweg:

Verbreitet sich über Email als ausführbare .PIF

Worm/Sobig.A kann sich bereits in der Vorschau von Outlook

ausführen, ohne dass der Anwender den Dateianhang öffnet. Hierzu

benutzt er ein Sichheitsloch, welches im Microsoft Outlook schon

länger existiert.

Microsoft hat einen Patch bereit gestellt:

http://www.microsoft.com/technet/security/bulletin/MS01-020.asp

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Sobig.B

Kurzinformationen

Virusname:	Worm/Sobig.B

Alias:	Win32/Palyh.A@mm, W32.HLLW.Mankx@mm

Viren Typ:	Internet Wurm

Dateigröße:	49.000 Bytes - 54.000 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	Niederlande

Datum:	19.05.2003

Schadensroutine:	Versendet sich als Email, Registry Einträge

VDF Version:	6.19.00.18

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Worm/Sobig.B hat eine Dateigröße von 49.000 bis 54.000 Bytes und ist mit dem Laufzeitpacker UPX gepackt. Palyh ist ein Internet Wurm, der sich per Email an andere Emailadressen versendet und sich über gesharte Windows Netzlaufwerke verbreitet.

Er kopiert sich in das Windows Verzeichnis als 'msccn32.exe' und legt Autorun Einträge in der Windows Registry an. In der Datei 'hnks.ini' sammelt er Emailadressen aus lokalen Dateien mit der Erweiterung .TXT, .EML, .HTM* .DBX und dem Windows Adress Buch (WAB).

Symptome:

Die Datei msccn32.exe ist im Windows (%WinDir%) Verzeichnis vorhanden.

Infektionsweg:

Sobig.C ist ein Internet Wurm, der sich per Email an andere Emailadressen versendet und sich über gesharte Windows Netzlaufwerke verbreitet.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Sobig.C

Kurzinformationen

Virusname:	Worm/Sobig.C

Alias:	~

Viren Typ:	Internet Wurm

Dateigröße:	~59 Kbytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	~

Datum:	01.06.2003

Schadensroutine:	Versendet sich als Email / Verbreitet sich über Netzlauwerke

VDF Version:	6.19.00.xx

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Eine allgemeine Virenbeschreibung ist zu diesem Virus nicht vorhanden.

Symptome:

Die Datei mscvb32.exe ist im Windows (%WinDir%) Verzeichnis vorhanden.

Infektionsweg:

Der Virus verbreitet sich via Email und Netzlaufwerken

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Sobig.D

Kurzinformationen

Virusname:	Worm/Sobig.D

Alias:	W32.Sobig.D@mm

Viren Typ:	Internet Wurm

Dateigröße:	ca. 59 Kbytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	unbekannt

Datum:	18.06.2003

Schadensroutine:	Versand von Emails, Verbreitung über das Intranet

VDF Version:	6.20.00.13

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Worm/Sobig.D hat eine Dateigröße von ca. 59 Kbytes. Führt man die virulente PE Datei aus, kopiert er sich in das Windowsverzeichnis unter den Dateinamen CFTRB32.EXE und legt die Datei RSSP32.DAT an.

Er sucht in .HTML, .HTM, .TXT, .EML und dem Windows Adressbuch nach Emailadressen, an die er sich mit Hilfe seiner eigenen SMTP Engine versenden kann.

Worm/Sobig.D ist in der Lage, auf Rechner, die im lokalen Netzwerk einen der folgenden Pfad besitzen, eine Kopie von sich selbst abzulegen:

\Documents and Settings\All Users\Start Menu\Programs\Startup\

\Windows\All Users\Start Menu\Programs\StartUp\

Beim nächsten Systemstart wird automatisch Worm/Sobig.D ausgeführt.

Symptome:

Eine Datei, die den Namen 'CFTRB32.EXE' trägt und mit einer Dateigröße von ~59 KBytes im Windows Verzeichnis liegt.

Infektionsweg:

Emailversand

Lokale Netzwerke

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Sobig.E

Kurzinformationen

Virusname:	Worm/Sobig.E

Alias:	W32/Sobig.E@mm, Win32.HLLW.Reteras

Viren Typ:	Internet Wurm

Dateigröße:	86.528 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	unbekannt

Datum:	25.06.2003

Schadensroutine:	Versand von Emails und Verbreitung über Netzwerke

VDF Version:	6.20.00.18

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Diese neue Variante des Worm/Sobig.E wurde am 25.Juni entdeckt und ist 'in the wild'. In den ersten 12 Stunden wurden bereits weit über 15000 Dateien des Worm/Sobig.E gesichtet. Der Wurm verbreitet sich über das versenden von Emails.

Im Body einer virulenten Email steht 'Please see the attached zip file for details.' und als Attachment findet man in den meisten Fällen die ZIP Datei 'your_details.zip', in der sich die virulente PE Datei findet.

Symptome:

Eine Datei mit dem Namen  WINSSK32.EXE im Windows Verzeichnis

Infektionsweg:

Versand von Emails

Netzwerke

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Sobig.F

Kurzinformationen

Virusname:	Worm/Sobig.F

Alias:	W32/Sobig.f@MM; WORM_SOBIG.F; W32.Sobig.F@mm

Viren Typ:	Internet Wurm

Dateigröße:	~ 70 - 75 KBytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	~

Datum:	19.08.2003

Schadensroutine:	Versendet sich via Email

VDF Version:	6.21.00.20

Schaden:	low

Verbreitung:	high !

Allgemeine Beschreibung:

Erste Analysen zeigen, dass es sich bei Worm/Sobig.F um einen äußerst aggressiven Wurm mit Updatefunktion handelt. Der Wurm verbreitet sich unter Windows 9x, Me, 2000 und XP. Wie auch schon seine Vorgänger verschickt Worm/Sobig.F sich mit Hilfe einer eigenen SMTP-Engine (Versende-Postamt im Internet) per Email. Und dies rasend schnell.

Symptome:

Existenz der Datei %windir%\winppr32.exe

Unerwartet starker NTP Traffic

Vorhandensein bestimmter Registry Einträge (siehe Webseite)

Infektionsweg:

Email

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Symbi.Cabir.A

Kurzinformationen

Virusname:	Worm/Symbi.Cabir.A

Alias:	EPOC.Cabir

Viren Typ:	Wurm

Datum:	15.06.2004

Schadensroutine:	Verbreitung via Bluetooth

VDF Version:	6.25.00.96

Schaden:	low

Verbreitung:	low

Allgemeine Beschreibung:

Der Wurm Worm/Symbi.Cabir.A ist der erste bekannte Handy Wurm. Allerdings kann er sich nicht ersthaft verbreitet, da der Anwender immernoch den Empfang bestätigen muss.

Der Wurm ist in der Lage, sich über Bluetooth auf Nokia Smartphones der 60iger Serie mit dem Betriebssystem "Symbian" zu verbreiten. Er versendet sich als Installations-Datei (.SIS) an alle Geräte in der Nähe und versucht sich in das Verzeichnis "APPS" zu kopieren.

Der Wurm wird derzeit als Proof-of-Concept eingestuft, und unterliegt keiner ernsthaften Verbreitung.

Infektionsweg:

Der Wurm sucht nach anderen Handys in der Umgebung, welche Bluetooth aktiviert haben und versucht sich an diese zu versenden.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Tanked.A

Kurzinformationen

Virusname:  	Worm/Tanked.A

Alias:	Worm.P2P.Tanked.a

Viren Typ:	PeerToPeer (P2P) Wurm

Dateigröße:	250.500 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	~

Datum:	20.03.2003

Schadensroutine:	Versand über P2P Filesharing KaZaA

VDF Version:	6.18.00.19

Schaden:	low

Verbreitung:	low

Allgemeine Beschreibung:

Worm/Tanked.A verbreitet sich über das P2P Filesharing Programm KaZaA. Führt der Anwender eine virulente Datei aus, kopiert sich der Wurm als 'Net_32.exe' in den Windows Systemordner.

Er erstellt mehrere Kopien von sich selbst in den Ordner CACHE32 des Windows Verzeichnises. Damit andere Anwender des Programms KaZaA auf diese Dateien aus dem Internet Zugriff haben und sie sich herunterladen können, fügt er der Registry einen Eintrag hinzu.

Symptome:

Vorhandensein bestimmter Dateien und Registry Einträge (siehe Webseite)

Infektionsweg:

P2P File-Sharing Netzwerke wie KaZaA, Morpheus, Edonkey2000 usw.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Tettona

Kurzinformationen

Virusname:	Worm/Tettona

Viren Typ:	Wurm

Dateigröße:	34.761 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Datum:	14.06.2002

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Eine allgemeine Virenbeschreibung ist zu diesem Virus nicht vorhanden.

Symptome:

Vorhandensein bestimmter Dateien und Registry Einträge (siehe Webseite)

Ungewöhnlich hohe Ausgangs Traffic am Port 5001

Infektionsweg:

Der Wurm hat eine eigene SMTP Engine und versendet sich an alle Emailadressen die der auf dem infizierten Computer findet.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/W32.Sircam

Kurzinformationen

Virusname:	Worm/W32.Sircam

Alias:	W32/SirCam@MM

Viren Typ:	Wurm

Dateigröße:	137.216 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Datum:	18.07.2001

Schaden:	medium

Verbreitung:	high

Allgemeine Beschreibung:

SirCam ist ein Wurm und Win32 Virus mit einer Größe von ca. 150 Kbytes. Wird dieser ausgeführt, so erstellt er folgende Dateien:

"C:\Recyled\SirC32.exe’

"C:\Recyled\LoveJoy_.com’

"C:\Windows\System\Scam32.exe’

"C:\Windows\Temp\LoveJoy_.com’

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Yaha.M

Kurzinformationen

Virusname:	Worm/Yaha.M

Alias:	W32/Yaha.K, I-Worm.Lentin.i,

Viren Typ:	Internet Wurm

Dateigröße:	34,304 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	~

Datum:	24.12.2002

Schaden:	high !

Verbreitung:	high !

Allgemeine Beschreibung:

Worm/Yaha.M ist ein Internet Wurm, der sich mit Hilfe seiner eigenen SMTP Engine an alle Kontakte im Windows Address Buch, MSN Messenger, .NET Messenger, Yahoo Pager und alle Kontakte, die er in *.HT* Dateien findet, versendet.

Symptome:

Beendet laufende Prozesse bzw. Anwendungen verschiedener Antiviren Software und Firewalls.

Infektionsweg:

Der Wurm hat eine eigene SMTP Engine und versendet sich an alle Emailadressen die der auf dem infizierten Computer findet.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Yaha.P

Kurzinformationen

Virusname:	Worm/Yaha.P

Alias:	W32/Lentin.M, W32/Yaha.P@mm

Viren Typ:	Internet Wurm, Netzwerk Wurm

Dateigröße:	45.568 Bytes

Betriebsysteme:	Microsoft Windows 9x/NT/2000/XP

Ursprung:	~

Datum:	28.02.2003

Schadensroutine:	Versand von Emails, Verbreitung über lokale  Netzwerke

Schaden:	medium

Verbreitung:	low

Allgemeine Beschreibung:

Worm/Yaha.P ist ein Massenmailer, welcher seine Email Adressen aus dem Windows Adressbuch, aus allen Dateien mit der Erweiterung *.HT* und den Verzeichnissen von Yahoo-, MSN-, .Net-Messenger bezieht. Des weiteren ist Worm/Yaha.P in der Lage, sich über lokale Netzwerke zu verbreiten.

Symptome:

Beendet laufende Prozesse bzw. Anwendungen verschiedener Antiviren Software und Firewalls.

Vorhandensein bestimmter Dateien und Registry Einträge (siehe Webseite)

Infektionsweg:

Verbreitet sich über Email und Computernetzwerke.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Worm/Zafi.B

Kurzinformationen

Virusname:	Worm/Zafi.B

Alias:	W32/Zafi.b@MM, PE_ZAFI.B, W32.Erkez.B@mm

Viren Typ:	Wurm

Dateigröße:	12.800 Bytes

Betriebsysteme:	Microsoft Windows 95/98/ME/NT/2000/XP/Server 2003

Datum:	10.06.2004

Schadensroutine:	DoS Attacke auf verschiedene Webseiten, Versand von Emails mit eigene SMTP Engine

Schaden:	low

Verbreitung:	medium

Allgemeine Beschreibung:

Wird Worm/Zafi.B ausgeführt, erstellt er folgenden Mutex "_Hazafibb,", welchen ihm erlaubt, lediglich einmal im Arbeitsspeicher aktiv zu sein. Er kopiert sich in das Windows Systemverzeichnis mit einem Dateinamen, der aus einer zufällig gewählten 8-Zeichen- bzw. Zahlenkette besteht.

Infektionsweg:

Worm/Zafi.B nutzt seine eigene SMTP Engine. Er durchsucht die lokalen Festplatten nach Emailadressen in Dateien.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


WScr.Kak.Worm

Kurzinformationen

Virusname:	WScr.Kak.Worm

Alias:	JS/Kak@M

Viren Typ:	Internet Wurm

Dateigröße:	0 Bytes

Betriebsysteme:	englische und französische Windows 95/98-Systeme

Datum:	 08.06.2000

Schaden:	medium

Verbreitung:	medium

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Yankee Doodle

Kurzinformationen

Alias:	TPxx

Art:	Residenter .COM und .EXE Infektor

Länge:	1881+16 Bytes

Ähnlichkeiten: 	Vacsina

Allgemeine Beschreibung:

Je nach Abart spielt der Virus über den eingebauten Lautsprecher den Yankee Doodle. Dies kann sowohl um 17:00, aber auch nach der erfolgreichen Infektion einer Datei sein. Bei der Installation umgeht der Virus das Betriebsystem durch direkte Modifikation der MCBs und infiziert anschließend jedes neu gestartete Programm. Da dieser Virus vom Vacsina Virus abstammt, hat er auch die Fähigkeit geerbt, sich selbst durch neuere Versionen zu ersetzen. Eine Version des Virus 'killt' einen eventuell vorhandenen Ping Pong auf der Festplatte.

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.


Zero Bug

Kurzinformationen

Alias:	Palette, ZBug

Art:	Residenter .COM Infektor

Länge:	1536 Bytes

Allgemeine Beschreibung:

Die Vergrößerung einer Datei wird nicht im Directory angezeigt. Der Virus schreibt zur Kennzeichnung einer bereits infizierten Datei eine '62' in das Sekundenfeld. Nachdem auch der COMMAND.COM auf der Festplatte infiziert wurde, werden in der Regel nach einer gewissen Zeitspanne Buchstaben auf dem Bildschirm durch den 'Smiley',  (ASCII Code 01) 'aufgegessen'. Große .COM-Dateien werden vom Virus 'geschrottet'. Der Virus kann durch folgenden Zeichenketten in einer befallenen Datei erkannt werden:

ZE

COMPSEC=C:

C:\COMMAND.COM

Nähere Informationen zu Malware und unerwünschten Programmen finden Sie auf unserer Webseite im Bereich Vireninfos.