Neue Warezov / Stration Varianten verbreitet sich massiv

By: Boris Hinzer

Warezovk / Stration Nachricht nach erfolgreicher Aktivierung

Kaspersky Labs melden, dass neue Varianten des Warezov E-Mail-Wurms (Email-Worm.Win32.Warezov.bv, .bx, .bw, .bu, .by, .ca) sich zur Zeit massiv im Internet ausbreiten. Warezov schaltet diverse Anti-Virus und Firewall Software aus.

Verbreitungsmethode:

• Email

Aliases:

•   Symantec: W32.Stration.A@mm
•   Mcafee: W32/Stration@MM
•   TrendMicro: WORM_STRATION.AZ
•   Sophos: W32/Stration-S
•   VirusBuster: I-Worm.Stration.C
•   Eset: Win32/Stration.AF
•   Bitdefender: Win32.Warezov.Q@mm

Betriebsysteme:

•  Windows 95, 98, 98 SE, NT, ME, 2000, XP, 2003

Auswirkungen:

• Blockiert Zugriff auf Webseiten von Sicherheitsfirmen
• Lädt eine schädliche Dateien herunter
• Erstellt schädliche Dateien
• Verfügt über eigene Email Engine
• Stiehlt Informationen
• Schaltet Sicherheitssoftware wie Anti-Virus oder Firewalls aus

Installation:

• Kopiert sich in das Windows-Verzeichnis (%Windir%\serv.exe)
• Kopiert weitere Dateien auf den infizierten PC:
  %System%\cssewmpd (16384 bytes)
  %System%\e1.dll (8192 bytes)
  %System%\regaufat.dll (24576 bytes)
  %System%\wupstlnt.dll (28672 bytes)
  %Windir%\serv.dll (7680 bytes)
  %Windir%\serv.s
  %Windir%\serv.wax
• Erzeugt folgende Registry-Einträge und aktiviert sich somit selbst beim Neustart des PC:
  [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] "serv"="%Windir%\serv.exe s"
  [HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows]
  "AppInit_DLLs"="wupstlnt.dll e1.dll"
• Der Wurm verschickt sich an alle Emailadressen im Windowsadressbuch und benutzt dabei seinen eigenen Email-Server

Nachrichtendetails:

Betreff:

• Error
• Good Day
• hello
• Mail Delivery System
• Mail server report
• Mail Transaction Failed
• picture
• Server Report
• Status

Nachricht:

• Mail transaction failed. Partial message is available.
• The message cannot be represented in 7-bit ASCII encoding and has been sent as a binary attachment.
• The message contains Unicode characters and has been sent as a binary attachment.
• Mail server report.
• Our firewall determined the e-mails containing worm copies are being sent from your computer.
  
  Nowadays it happens from many computers, because this is a new virus type (Network Worms).
  
  Using the new bug in the Windows, these viruses infect the computer unnoticeably.
  
  After the penetrating into the computer the virus harvests all the e-mail addresses and sends the copies of itself to these e-mail addresses
  
  Please install updates for worm elimination and your computer restoring.
  
  Best regards,
  
  Customers support service

Manuelle Entfernung:

• Starten Sie den PC im 'Abgesicherten Modus' (drücken Sie beim Boot-Vorgang mehrfach die F8 Taste - ein Auswahl Menü erscheint dann)
• Rufen Sie den Task-Manager auf (STRG+ALT+ENTF) und entfernen Sie den Prozess mit dem Namen 'serv.exe'
• Löschen Sie nun manuell die folgenden Dateien in den aufgeführten Verzeichnissen (%System% = ihr Systemverzeichnis, %Windir% = Ihr Windowsverzeichnis). Falls Sie Dateien nicht finden können nutzen Sie die Windows Suchfunktion.
  
  %System%\e1.dll
  %System%\regaufat.dll
  %System%\wupstlnt.dll
  %System%\cssewmpd
  %Windir%\serv.dll
  %Windir%\serv.s
  %Windir%\serv.wax
  %Windir%\serv.exe
  
  
• Entfernen Sie die Registry folgenden Registry-Einträge. Gehen Sie dazu auf START > Ausführen... > regedit
  
  [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] "serv"="%Windir%\serv.exe s"
  [HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows] "AppInit_DLLs"="wupstlnt.dll e1.dll"
• Starten Sie Ihren PC neu