hoch
Übersicht
Übersicht
Maßnahme- Weitere Informationen
| Erkannt von | Alle Sophos Produkte |
|---|---|
Kostenlose Überprüfung auf Viren
- Kostenlose Überprüfung auf Viren und Spyware
- Testet Ihren bestehenden Virenschutz
- Findet Ihre Virenschutzlösung alle Viren?
Maßnahme
- Übersicht
- Maßnahme
- Weitere Informationen
Befolgen Sie bitte die Anweisungen zum Entfernen von Würmern.
Lesen Sie bitte die Hinweise zum Entfernen von Würmern.
Windows NT/2000/XP
Unter Windows NT/2000/XP müssen Sie folgenden Registrierungseintrag löschen. Unter Windows 95/98/Me ist das Entfernen dieses Schlüssels optional.
Klicken Sie in der Taskleiste auf Start|Ausführen. Geben Sie "Regedit" ein und drücken Sie Enter. Es öffnet sich der Registrierungseditor.
Bevor Sie die Registrierung verändern, sollten Sie ein Backup erstellen. Klicken Sie im Menü "Registrierung" auf "Registrierungsdatei exportieren", wählen Sie als Exportbereich "Alles" und speichern Sie Ihre Registrierung als Backup.
Suchen Sie unter HKEY_LOCAL_MACHINE den Eintrag:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\sysaxam32
und löschen Sie ihn, sofern er existiert.
Schließen Sie den Registrierungseditor.
Weitere Informationen
W32/Axam-A ist ein E-Mail- und Peer-to-Peer-Wurm. Der Wurm erscheint in einer E-Mail mit folgenden Merkmalen:
Betreffzeile - zufällig gewählt aus folgender Liste:
Are you a Bussiness man?
Care to trade world map?
DAA Holding have an Idea for Bussiness man
Do you have an enough salaries for you job?
Don't missed Logon to DAABussiness.com
Don't waste you money!
Good Idea For ya!
Great Job for Professional Programmer
Hello man!
Hey, how are you?
Hi! ;)
How to make a money in one day?
How to prevent from Pirate CD!
HOW TO PREVENT YOUR EMAIL FROM VIRUSES?
IMPORTANT DISCUSSION!
Job for you!
NICE TO MEET YOU!
No More Blood!
Trade and Care about customer!
Who's should be attacked first?
Text:
Hello Mr/Mrs/Sir/Mdm,
I have an Idea for you, This will make your business more efficient. To download this important tips just click here or you can downloaded the files from an attachment.
Regard,
Alexander Joshia
Executive Manager of DAA Holding
Attachment: Will have the name of the executable that sent the email.
Der Wurm kann auch in den folgenden Ordnern gefunden werden, die häufig von beliebter Peer-to-Peer-Netwerksoftware gemeinsam genutzt werden:
C:\Programme\KMD\My Shared Folder\Axam.exe
C:\Programme\Kazaa\My Shared Folder\Invisible_man.exe
C:\Programme\KaZaA Lite\My Shared Folder\AjeedNASA.exe
C:\Programme\Morpheus\My Shared Folder\Blaster.exe
C:\Programme\Grokster\My Grokster\XXX_HOTSEX.exe
C:\Programme\BearShare\Shared\fxbgbear.exe
C:\Programme\Edonkey2000\Incoming\setup_flash.exe
C:\Programme\limewire\Shared\Super Mario.exe
Außer in die oben genannten Verzeichnisse kopiert sich der Wurm auch in den Windows-Startordner und in C:\Windows\Application Data\.
Der folgende Registrierungseintrag wird erstellt, damit der Wurm beim Start von Windows aktiviert wird:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\sysaxam32
Eine neue Datei namens spitmaxa wird über die Registrierungseinträge HKCR\Spitmaxa und HKCR\.exe erstellt und so verändert, dass EXE-Dateien als Dateityp spitmaxa gestartet werden. Dadurch startet der Wurm, sobald der Anwender des infizierten Computers versucht eine EXE-Datei zu öffnen.
Wenn er ausgeführt wird, zeigt W32/Axam-A ein Meldungsfenster mit dem folgenden Text an:
"PreSeNt Axam Spitmaxa W0rM
-=< GReeTz to AsEaN HacKeRs GrOuP >=-
> MelHacKer
> InVisible_man
> AjeedNASA
> Zied666
> Foot-Art
> PakBrain
aNd All mY fRieNd iN thE WorLd...
Melhacker, Inc. (c) Copyright 1995-2003. All Right Reserved."
Am zweiten Tag des Monats wird ein Meldungsfenster mit dem Text "Apa yang membuatkan seseorang itu lalai? Jawapannya ada pada anda sendiri. Dengarlah nasihat dari Axam Virus ini." angezeigt.
Der Virenautor Melhacker behauptet sich in Malaysia zu befinden und der in dem Meldungsfenster angezeigte Text ist in malaysischer Sprache verfasst. Übersetzt bedeutet der Text in etwa: "Wie wird eine Person leichtsinnig? Die Antwort liegt in dir. Höre auf den Rat des Axam-Virus".
W32/Axam-A versucht alle folgenden Prozesse zu beenden:
_Avp32.exe
_Avpcc.exe
_Avpm.exe
Ackwin32.exe
Anti-Trojan.exe
Apvxdwin.exe
Autodown.exe
Avconsol.exe
Ave32.exe
Avgctrl.exe
Avkserv.exe
Avnt.exe
Avp.exe
Avp32.exe
Avpcc.exe
Avpdos32.exe
Avpm.exe
Avptc32.exe
Avpupd.exe
Avwupd32.exe
Blackd.exe
Blackice.exe
ccApp.exe
Cfiadmin.exe
Cfiaudit.exe
Cfinet.exe
Cfinet32.exe
Claw95.exe
Claw95cf.exe
Cleaner.exe
Cleaner3.exe
Cmd.exe
Command.com
Dvp95.exe
Dvp95_0.exe
Ecengine.exe
Esafe.exe
Espwatch.exe
F-Agnt95.exe
Findviru.exe
Fprot.exe
F-Prot.exe
F-Prot95.exe
Fp-Win.exe
Frw.exe
F-Stopw.exe
HH.exe
Iamapp.exe
Iamserv.exe
Ibmasn.exe
Ibmavsp.exe
Icload95.exe
Icloadnt.exe
Icmon.exe
Icsupp95.exe
Icsuppnt.exe
Iface.exe
Iomon98.exe
Jedi.exe
Lockdown2000.exe
Lookout.exe
Luall.exe
Moolive.exe
Mpftray.exe
N32scanw.exe
Navlu32.exe
Navnt.exe
Navw32.exe
Navwnt.exe
Nisum.exe
Nmain.exe
Normist.exe
Nupgrade.exe
Nvc95.exe
Outpost.exe
Padmin.exe
Pavcl.exe
Pavsched.exe
Pavw.exe
Pccwin98.exe
Pcfwallicon.exe
Persfw.exe
Rav7.exe
Rav7win.exe
Regedit.com
Regedit.exe
Rescue.exe
Safeweb.exe
Scan32.exe
Scan95.exe
Scanpm.exe
Scrscan.exe
Serv95.exe
Smc.exe
Sphinx.exe
Sweep95.exe
Tbscan.exe
Tca.exe
Tds2-98.exe
Tds2-Nt.exe
VControl.exe
Vet95.exe
Vettray.exe
Vscan40.exe
Vsecomr.exe
Vshwin32.exe
Vsstat.exe
Webscanx.exe
Wfindv32.exe
Zonealarm.exe
Die Datei Autoexec.bat wird so verändert, dass sie beim Ausführen "...-= AxAm WOrm PreSenT =-..." anzeigt.
W32/Axam-A enthält eine Funktion, durch die eine große Zahl Dateien gelöscht und die Laufwerke C: und D: formatiert werden sollen, aber dies funktioniert nicht.
|
