Ein virus wurde in Ihrer Email gefunden.
Dieser Email Scanner unterbrach die Versendung der Nachricht an den Empfaenger.
Der virus scheint folgenden Typs zu sein:
Worm.SomeFool.P
Bitte besorgen Sie sich einen Virenscanner bzw. ein Update fuer Ihren
Virenscanner und benachrichtigen Ihre EDV-Abteilung so schnell, wie moeglich.
http://www.viruslist.com/en/viruses/enc ... usid=22760
Der Worm.SomeFool.P wird von den meisten AV-Firmen als Netsky.P bezeichnet
Die Varianten der Würmer Bagle und Netsky werden immer zahlreicher. Bei Netsky haben die Hersteller von Antivirensoftware bereits die P-Variante gemeldet. Das Besondere an ihm ist, dass er unter anderem eine alte Lücke in ungepatchten Versionen des 5.01 und 5.5 des Internet Explorer ausnutzt, bei der das Anschauen einer HTML-Mail ausreicht, um das beigefügte Attachment automatisch auszuführen. Auch eine der vielen Bagle-Varianten -- Bagle.q -- infiziert Systeme über ein Sicherheitsloch im Internet Explorer 6.0, bei der das Lesen einer HTML-Mail zum Nachladen von bösartigem Code führt. Damit sind zwei Würmer unterwegs, die nicht mehr auf eine unüberlegte Aktion des Anwender, etwa den Doppelklick auf den Dateianhang, angewiesen sind.
Wie auch seine Vorgänger verbreitet sich Netsky.p von infizierten Systemen per E-Mail und über P2P-Netze. NAI und Trend Micro haben das Risiko für Netsky.p auf "Medium" erhöht. Anwender sollten ihre Viren-Signaturen aktualisieren. Sofern noch die älteren Versionen des Internet Explorer im Einsatz sind, sollten die Patches installiert werden. Abhilfe schafft auch die Deaktivierung der HTML-Ansicht im E-Mail-Client.
Home / Viruses / Virus Encyclopedia / Malware Descriptions / Network Worms / Email Worms
Email-Worm.Win32.NetSky.q
Other versions: .ac, .b, .c, .d, .e, .m, .o, .r, .t, .y
,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,
Aliases
Email-Worm.Win32.NetSky.q (Kaspersky Lab) is also known as: I-Worm.NetSky.q (Kaspersky Lab), W32/Netsky.ad@MM (McAfee), W32.Netsky.P@mm (Symantec), Win32.HLLM.Netsky.based (Doctor Web), W32/Netsky-P (Sophos), Win32/Netsky.P@mm (RAV), WORM_NETSKY.P (Trend Micro), Worm/NetSky.P.2 (H+BEDV), W32/Netsky.P@mm (FRISK), Win32:Netsky-P (ALWIL), I-Worm/Netsky.Q (Grisoft), Win32.Netsky.P@mm (SOFTWIN), Worm.SomeFool.P-dll (ClamAV), W32/Netsky.P.worm (Panda), Win32/Netsky.Q (Eset)
Description added Mar 24 2004
Behavior Email Worm
[ HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Norton Antivirus AV" = %windir\fvprotect.exe
The worm also creates a file named userconfig9x.dll in the Windows directory, and files with the following names:
zipped.tmp
base64.tmp
zip1.tmp
zip2.tmp
zip3.tmp
These files are copies of the worm in UEE format and ZIP archives containing copies of the worm. Files within the archive will have names chosen from the following list:
document.txt.exe
data.rtf.scr
details.txt.pif
The worm creates a mutex, ""_-oO]xX|-S-k-y-N-e-t-|Xx[Oo-_", to flag its presence in the system.
and sends copies of itself to email addresses harvested from these files. The worm uses its own SMTP library to send messages. The worm also attempts to establish a direct connection to the message recipient's server.
The worm may send messages which contain the IFRAME Exploit, in the same way that Klez.h and Swen did. When this happens, if the message is viewed using a vulnerable mail client, the archive file containing the worm will be launched automatically.
If the worm finds the keys listed below in the system registry key
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
it will delete them.
Explorer
system.
msgsvr32
winupd.exe
direct.exe
jijbl
service
Sentry
au.exe
direct.exe
d3dupdate.exe
OLE
gouday.exe
rate.exe
Taskmon
Windows Services Host
sysmon.exe
srate.exe
ssate.exe
winupd.exe
It will also delete the keys
system.
Video
from
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
and the following key values, created by I-Worm.Bagle.
HKLM\SYSTEM\CurrentControlSet\Services\WksPatch
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\PINF
HKCR\CLSID\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}\InProcServer32
vielen Dank und schöne Pfingsten,
- der startet nämlich auch immer automatisch bei Systemstart.
- bei Rechtsklick auf C:/ - wie du geschrieben hast- kommt dann "Eigenschaften" und
