WORM_DELODER.A

#1 Dieser Wurm breitet sich nur auf Windows 2000 und XP Rechnern aus, die Port 445 (SMB over TcpIp) geöffnet haben. Ist dieser port offen, so versucht er sich als Administrator anzumelden. Folgende Passwörter werden dabei genutzt:

- 0
- 000000
- 00000000
- 007
- 1
- 110
- 111
- 111111
- 11111111
- 12
- 121212
- 123
- 123123
- 1234
- 12345
- 123456
- 1234567
- 12345678
- 123456789
- 1234qwer
- 123abc
- 123asd
- 123qwe
- 2002
- 2003
- 2600
- 54321
- 654321
- 88888888
- a
- aaa
- abc
- abc123
- abcd
- Admin
- admin
- admin123
- administrator
- alpha
- asdf
- computer
- database
- enable
- foobar
- god
- godblessyou
- home
- ihavenopass
- Internet
- Login
- login
- love
- mypass
- mypass123
- mypc
- mypc123
- oracle
- owner
- pass
- passwd
- Password
- password
- pat
- patrick
- pc
- pw
- pw123
- pwd
- qwer
- root
- secret
- server
- sex
- super
- sybase
- temp
- temp123
- test
- test123
- win
- xp
- xxx
- yxcv
- zxcv

Ist dies erfolgreich, kopiert er sich an folgende Stellen im Dateisystem:

- C:/WINDOWS/Start Menu/Programs/Startup/INST.EXE
- C:/WINNT/All user/start Menu/Programs/Startup/INST.EXE
- C:/Documents and Settings/All user/start Menu/Programs/Startup/INST.EXE (Somit wird er beim nächsten Start automatisch ausgeführt)

Des Weiteren kopiert er auch sich selbst (DVLDR32.EXE)

Folgender Eintrag in der Registry wird vorgenopmmen:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
messnger = %WurmPfad%/Devldr32.exe

Er versucht ein Backdoor Programm aus dem Internet zu laden, welches als RUNDLL32.EXE im Windows System Verzeichnis abgelegt wird. Diese sind BackDoor-ARG und IRC-Pitchfork.

Weiter Informationen: http://vil.nai.com/vil/content/v_100127.htm
__________
powered by http://different-thinking.de - Netze, Protokolle, Sicherheit, ...