[Viren/Trojaner] Mit der neuen Version Tanatos.b (alias Bugbear.b) feiert Tanatos eine bedrohliche...

[Wiggel]

Mit der neuen Version Tanatos.b (alias Bugbear.b) feiert Tanatos eine bedrohliche...

Kaspersky Labs, eine international anerkannte Software-Schmiede im Bereich Datensicherheit, warnt vor Tanatos.b (alias Bugbear.b) , einer neuen Variante von Tanatos. Diese in der Programmiersprache Microsoft Visual C++ geschriebene Malware ist eine ausführbare Windows-Datei mit einer Länge von 72 Kb (gepackt mit dem UPX-Utility) und verfügt über mehrere gefährliche Funktionen: So infiziert Tanatos.b die ausführbaren Windows-Dateien sowie Dateien, die von Outlook Express, Internet Explorer, WinZip, dem P2P-Netzwerk KaZaA, ICQ und MSN-Messenger sowie von den Data-Transfer-Protocols FTP und CuteFTP u.a. ausführbar sind.

Darüber hinaus kann der Viren-Autor anhand eines Backdoor-Programms problemlos Kontrolle über den infizierten Computer erhalten. Dazu öffnet der Wurm den Port 1080, über den folgende Handlungen durchgeführt werden können:
Informationen über den Inhalt der Laufwerke weiterleiten
Dateien kopieren, starten und löschen
Mitteilen, welche Anwendungen aktiv sind und diese schließen
Dateien von entfernten Computern herunterladen und dem Viren-Autoren
Informationen über Tastatureingaben vermitteln
Einen HTTP-Server installieren
Über die Aktivitäten dieses bedrohlichen Wurms liegen bereits zahlreiche Meldungen vor. Tanatos wurde erstmals im September 2002 entdeckt. Der I-Wurm infizierte damals zahlreiche Computer rund um die Welt. Der Schädling verband seine Funktionen als I-Wurm mit einem Trojaner, was ihn ausgesprochen gefährlich machte und vertrauliche Daten in die falschen Hände geraten ließ.

Harmlose Post mit explosivem Inhalt

Tanatos.b verbreitet sich als angehängte Datei von infizierten E-Mails, die unterschiedliche Betreffzeilen, Mail-Bodies und Namen der angehängten Dateien haben können. Der Schädling wird bei einem Start der Wirtsdatei im Attachment aktiviert, infiziert dann den Computer und startet seine Verbreitungsroutine. Zum Starten der Wirtsdatei nutzt der Wurm mehrere Möglichkeiten: Entweder automatisch, über die Schwachstelle IFRAME im Sicherheitssystem des Internet Explorers, durch den User oder über lokale Netzwerke.

Bei der Installation kopiert sich Tanatos.b unter einem zufällig gewählten Namen in das Autostart-Verzeichnis, erstellt seine Dateien im Systemregister von Windows und kopiert sich in das Windows-Systemverzeichnis sowie in die Verzeichnisse von temporären Dateien. Danach beginnt der Wurm seine Verbreitungsprozedur über eine eigene SMTP-Engine. Zum Verschicken über E-Mail sucht Tanatos.b in allen zugänglichen Laufwerken nach neuen Adressen in Dateien mit folgenden Erweiterungen: *.ODS, INBOX.*, *.MMF, *.NCH, *.MBX, *.EML, *.TBB, *.DBX.

Detailliertere Informationen über Tanatos.b sind in der Kaspersky Virus Encyclopedia unter www.viruslist.com/eng/viruslist.html?id=60814 zu finden.



Gruß Wiggel :uzi

 

[Autoöl]

AW: [Viren/Trojaner] Mit der neuen Version Tanatos.b (alias Bugbear.b) feiert Tanatos eine bedrohliche...

Ist das so nen Briefchen?

 

[Wiggel]

AW: [Viren/Trojaner] Mit der neuen Version Tanatos.b (alias Bugbear.b) feiert Tanatos eine bedrohliche...

Recht merkwürdige Mail

 

[Wiggel]

AW: [Viren/Trojaner] Mit der neuen Version Tanatos.b (alias Bugbear.b) feiert Tanatos eine bedrohliche...

I-Worm.Tanatos.b (aka Bugbear.b)
Tanatos.b is a worm virus spreading via the Internet as an email attachment. The worm also infects Windows EXE files, spreads over local networks and has a built-in backdoor routine.
The worm itself is a Windows PE EXE file about 72KB in length when compressed by UPX and encrypted over UPX compression. The decompressed size is about 170KB. The worm's code is written in Microsoft Visual C++.

Tanatos.b has the following text strings in its body:
w32shamur
W32.Shamur
tanatos
Installing
While installing the worm copies itself to the Windows start-up directory under a random name. No regstry keys are affected.

The worm also creates following files in the Windows system directory:
gpflmvo.dll - keylogger DLL (about 6K of size)
zpknpzk.dll - its internal data file
shtchs.dll - its internal data file

Tanatos also creates the following file in the Windows directory: %rnd name%.dat - its internal data file
and the next file in the Temp directory:
vba%rnd%.tmp file - worm installed copy
Spreading
To send infected messages the worm uses a built-in SMTP engine. The worm searches for victim emails in following files on the available disks:
*.ODS, INBOX.*, *.MMF, *.NCH, *.MBX, *.EML, *.TBB, *.DBX

The infected messages have different Subject, Body, and File Attachment names that are selected from many variants:
Subject:
The file attachment name is randomly selected by several methods:
1. The worm looks for *.INI files in ??? and in case a "%filename%.INI" file is found, the worm sends itself with the "%filename%.%ext" name where %ext% is randomly selected from the list: ".scr", ".pif", ".exe".

2. The worm randomly selects attached file names from following variants:
readme, Setup, Card, Docs, news, image, images, pics, resume, photo, video, music, song, data
The file name extension is also randomly selected from the same variants:
".scr", ".pif", ".exe".
3. The worm looks for *.BMP, *.DOC, *.GIF, *.JPG, *.RTF and other files and uses their full names as the %filename% for the infected attachment. In this case they have double extensions, for example:
doc1.doc.exe
euro.gif.scr
table.xls.pif

4. "setup.exe"
The infected emails randomly have the IFrame security breach that runs upon the opening the an infected email. In the rest of the messages the worm activates only when a user clicks on the attached file.

Infecting EXE files
While infecting a file the worm writes itself to the end of the file. The worm's copy is "incorporated" into the victim machine's file structure as a "standard" .EXE file in the "Program Files" directory. Copy names include:
winzip\winzip32.exe
kazaa\kazaa.exe
ICQ\Icq.exe
DAP\DAP.exe
Winamp\winamp.exe
AIM95\aim.exe
Lavasoft\Ad-aware 6\Ad-aware.exe
Trillian\Trillian.exe
Zone Labs\ZoneAlarm\ZoneAlarm.exe
StreamCast\Morpheus\Morpheus.exe
QuickTime\QuickTimePlayer.exe
WS_FTP\WS_FTP95.exe
MSN Messenger\msnmsgr.exe
ACDSee32\ACDSee32.exe
Adobe\Acrobat 4.0\Reader\AcroRd32.exe
CuteFTP\cutftp32.exe
Far\Far.exe
Outlook Express\msimn.exe
Real\RealPlayer\realplay.exe
Windows Media Player\mplayer2.exe
WinRAR\WinRAR.exe
adobe\acrobat 5.0\reader\acrord32.exe
Internet Explorer\iexplore.exe

in Windows directory:
winhelp.exe
notepad.exe
hh.exe
mplayer.exe
regedit.exe
scandskw.exe

Infecting - networks
The Tanatos.b worm accounts for all network resources, then copies itself to available resource (drives) startup folders using random .EXE names or the name, "setup.exe". The worm also looks for "standard" .EXE files (the same list as above) on shared resource drives, and infects them.

Backdoor
Tanatos.b opens port 1080

- reports disk and file info
- copies, deletes requested file
- reports active applications
- terminates requested application
- runs local file by master's request
- receives a file from master and runs it
- logs keyboard and sends it to master
- opens HTTP server


Other Tanatos.b terminates active debuggers, anti-virus and firewall processes:


ZONEALARM.EXE WFINDV32.EXE WEBSCANX.EXE VSSTAT.EXE VSHWIN32.EXE VSECOMR.EXE
VSCAN40.EXE VETTRAY.EXE VET95.EXE TDS2-NT.EXE TDS2-98.EXE TCA.EXE
TBSCAN.EXE SWEEP95.EXE SPHINX.EXE SMC.EXE SERV95.EXE SCRSCAN.EXE
SCANPM.EXE SCAN95.EXE SCAN32.EXE SAFEWEB.EXE RESCUE.EXE RAV7WIN.EXE
RAV7.EXE PERSFW.EXE PCFWALLICON.EXE PCCWIN98.EXE PAVW.EXE PAVSCHED.EXE
PAVCL.EXE PADMIN.EXE OUTPOST.EXE NVC95.EXE NUPGRADE.EXE NORMIST.EXE
NMAIN.EXE NISUM.EXE NAVWNT.EXE NAVW32.EXE NAVNT.EXE NAVLU32.EXE
NAVAPW32.EXE N32SCANW.EXE MPFTRAY.EXE MOOLIVE.EXE LUALL.EXE LOOKOUT.EXE
JEDI.EXE IOMON98.EXE IFACE.EXE ICSUPPNT.EXE ICSUPP95.EXE ICMON.EXE
ICLOADNT.EXE ICLOAD95.EXE IBMAVSP.EXE IBMASN.EXE IAMSERV.EXE IAMAPP.EXE
FRW.EXE FPROT.EXE FP-WIN.EXE FINDVIRU.EXE F-STOPW.EXE F-PROT95.EXE
F-PROT.EXE F-AGNT95.EXE ESPWATCH.EXE ESAFE.EXE ECENGINE.EXE DVP95_0.EXE
DVP95.EXE CLEANER3.EXE CLEANER.EXE CLAW95CF.EXE CLAW95.EXE CFINET32.EXE
CFINET.EXE CFIAUDIT.EXE CFIADMIN.EXE BLACKICE.EXE BLACKD.EXE AVWUPD32.EXE
AVWIN95.EXE AVSCHED32.EXE AVPUPD.EXE AVPTC32.EXE AVPM.EXE AVPDOS32.EXE
AVPCC.EXE AVP32.EXE AVP.EXE AVNT.EXE AVKSERV.EXE AVGCTRL.EXE
AVE32.EXE AVCONSOL.EXE AUTODOWN.EXE APVXDWIN.EXE ANTI-TROJAN.EXE ACKWIN32.EXE
_AVPM.EXE _AVPCC.EXE _AVP32.EXE LOCKDOWN2000.EXE



Gruß Wiggel

 

[koloth]

AW: [Viren/Trojaner] Mit der neuen Version Tanatos.b (alias Bugbear.b) feiert Tanatos eine bedrohliche...

Original geschrieben von Autoöl
Ist das so nen Briefchen?

Sieht mir eher nach Trittbrettfahrer, sprich Dialer aus.
Kostenlose Zugangssoftware ist dafür nur ein anderer Begriff.

 

[Autoöl]

AW: [Viren/Trojaner] Mit der neuen Version Tanatos.b (alias Bugbear.b) feiert Tanatos eine bedrohliche...

Zitat aus der mail:

Als Bonus Download erwartet Sie ....

Man wird also noch mit Zusatzgeschenken geködert

(Ist übrigens auch ein Schreibfehler drin ) Virusprogrammes statt Virusprogramme


Scheint ein Dailer zu sein !!!