Wurm W32/Zafi-B verbreitet sich massiv!

By: admin

Der Wurm Zafi-B verbreitet sich derzeit massiv sowohl über E-Mail als auch über peer-2-peer Netzwerke wie z.B. KaZaA.

Sein Verbreitungsgrad wird als hoch eingestuft!!!

 

 

Name: W32/Zafi-B

Alias: I-Worm Zafi.b

W32/Zafi.b@MM

Win32/Zafi.B

W32Erkez.B@mm

PE_Zafi.B

Art: Wurm

Art der Verbreitung: via E-Mail

Verbreitungsgrad: hoch

 

Beschreibung:

W32/Zafi-B ist ein Wurm der sich sowohl per E-Mail als auch über peer 2 peer Netze verbreitet (z.B.: KaZaA).

Der Wurm kopiert eine EXE-Datei ins Windowssystemverzeichnis und trägt sich in die Registry ein, um sicherzugehen, das die Datei nach dem Neustart gestartet wird.

 

Einstellung folgender Registryeinträge:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run\_Hazafibb=\

Darüber hinaus werden folgende Registryeinträge erzeúgt:

HKLM\Software\Microsoft\_Hazafibb\

 

Der Wurm prüft das Vorhandensein eines Internetanschlusses indem er versucht, an www.google.com oder www.microsoft.com anzuschließen.

 

W32/Zafi-B sammelt E-Mail-Adressen von den Dateien die die folgenden Verlängerungen aufweisen:

Htm, WAB, TXT, DBX, TBB, Asp, PHP, SHT, ADB, MBX, EML und PMR.

 

Der Wurm speichert die gesammelten E-Mail-Adressen in, nach dem Zufallsprinzip genannten Dateien mit DLL-Verlängerung im Windowssystemverzeichnis ab.

 

W32/Zafi-B versucht sich als Dateianhang in den E-Mails mit einzubringen, die vom lokalen Rechner gesammelt wurden.

 

Der Wurm kopiert sich auch in geteilte P2P - Dateien als

`WINAMP 7,0 Full_Install EXE`

oder

`Gesamt C Kommandant 7,o Full_Insall.EXE.´

 

W32/Zafi-B kann eine message box auf dem Schirm anzeigen, die das folgende enthält:

 

Ungarischer Text:

Ein hajlektalanokelhelyezeset, ein buntetotorvenyekszigoritasat, es ein koveteljuk HALALBUNTETES MEGSZAVAZASAT ein kormanytol, bunozes eines novekvo ellen! 2004, Jun, Pecs, (SNAFmannschaft).

 

Die englische Übersetzung ist:

 

Wir verlangen, daß die Regierung den Homeless unterbringt,

zieht herauf den Strafcode und die STIMMEN FÜR DIE TODESCStrafe

hinunter das zunehmende Verbrechen schneiden. Jun. 2004, Pécs (SNAF-Mannschaft)

 

Unter sind Beispiele der email, die von W32/Zafi-B gesendet werden.

 

Thema: Ingyen SMS!

Anzeige:

------------------------ hirdet=E9s -----------------------------

Sikeres 777sms.hu = E9s-az axelero.hu t=E1mogat=Eß=E1val = FAjra

indulazingyenessms k=FCld=F5 szolg=E1ltat=Eß! Jelenleg ugyan

korl=E1tozott sz=E1mban, napi 20 ingyen smstlehet felhaszn=E1lni.

Te K=FCldj ist SMST! Neh=E1ny kattint=Eß = E9s ein azonnal ig=E9nybevehet=F5 des Schosses kit=F6lt=E9se ut=E1n mell=E9kelt regisztr=Eçi=F3s! B=F5vebb inform=Eçi=F3t ein www.777sms.hu-oldalon tal=E1lsz, de Siess,

ezer felhaszn=E1l=F3 des mertaz els=F5 k=F6z=F6tt = sorsolunkki E9rt=E9kes nyerem=E9nyeket!

------------------------ axelero.hu ---------------------------

 

Thema: Importante!

Anzeige: Importantequedebesconocer Informacion, -

 

Thema: E-Kort!

Anzeige: MITHJERTEBANKER für Grabung!

 

Thema: Ecard!

Anzeige: Mannschaftcunoscutinimamea De Cand sind un-nouritm!

 

Thema: E-vykort!

Anzeige: Bis minimales Alskade...

 

Thema: E-Postkort!

Anzeige: Roserjegsammenligner Vakre med Grad...

 

Thema: E-postikorti!

Anzeige: Kesaa Iloista!

 

Thema: Atviruka!

Anzeige: Gimtadieno Linksmo!

 

Thema: E-Kartki!

Anzeige: Imienin W Dniu...

 

Thema: Cartoe Virtuais!

Anzeige: Amo Te...

 

Thema: Fuer Dich Flashcard!

Anzeige: Hallo!

geschickt HutdireineelektronischeFlashcard.

Um-Würfel Flashcard ansehen zu koennen, benutze in der deinemdatenbanksuchroutine

einfachdennun folgenden Verbindung:

flashcard.de/interaktiv/viewcards/view.php3

BeimLesen Viel Spass wuenschtIhnen ihr...

 

Thema: Er een staat das klaar eCardvoor u!

Anzeige: Hallo!

heeft u een eCardgestuurd über nederlandse de Website

taal in den hetbasisonderwijs...

U Kunt de Kaart ophalen door de Volgende url, das aan te vom te klikken

kopiren in der uwdatenbanksuchroutineverbindung:

postkaarten.nl/viewcard.show53.index=0âbD1

Getroffenes vriendelijkegroet,

Taalsiteprimaironderwijs De Redactie...

Hanka

 

Thema: Pohlednice Elektronicka!

Anzeige: Ahoj!

Pohlednicezeserveru www.seznam.cz Elektronick

 

Thema: E-E-carte!

Anzeige: vous ein envoyeune E-E-carte Partir du site Zdnet.fr

Latrouverez Vous, l'adressesuivanteverbindung:

zdnet.fr/showcard.index.php34bs42

www.zdnet.fr, plus Cartesvirtuelles Des 3500, vosseitennetz

en 5 Minuten, du dialogue en direkt...

 

Thema: Statainviatauna Cartolina Virtuale des Ti e!

Anzeige: Ciao!

ha-visitatoilnostrosito, creatouna cartolina.it e ha

cartolinavirtuale pro te! Pro vederladevi-Fahrpreisklicken

sulverbindungssottostante: cartolina.it/asp.viewcard=index4g34ä

Attenzione, suinostribediener des Lacartolinasara visibile pro

2 poiverrarimossaautomaticamente des giorni e.

 

Thema: You`ve erhielt 1 VoiceMessage!

Anzeige: Lieber Kunde!

You`ve erhielt 1 VoiceMessage vom voicemessage.com-website!

Absender:

Sie können Ihr virtuelles VoiceMessage an der folgenden Verbindung hören:

virt.voicemessage.com/index.listen.php2=3äffv

oder durch das Anklicken der angebrachten Verbindung.

Senden Sie VoiceMessage! Versuchen Sie unser neues virtuelles Reich VoiceMessage!

Bester Respekt: SNAF.Team (R).

 

Thema: Mosolyogni Tessek!!!

Anzeige: Ha ez ein k=E9p-semtudfelviditani, akkorfeladom!

Puszi Sok:

 

Thema: Soxor Csok!

Szia!

Vagy Aranyos, dumcsizni des Volts j=F3 veled a neten!

Rem=E9lem-tetszem, = te E9s szeretn=E9m ha ist k=FClden=E9l k=E9pet

magadr=F3l, addig ist cs=F3k:

 

Thema: Sorge Don`t, ist glücklich!

Anzeige: Hallo Honig!

I`m in der Hast, aber ich lieben noch ya...

(als Sie kann auf die Abbildung sehen)

Tschuess - Tschuess:

 

 

---