Mysterium

[DCS]

Goggle: http://www.sophos.de/virusinfo/analyses/w32randexy.html

W32/Randex-Y ist ein Netzwerkwurm mit Backdoor-Funktionen, der einem remoten Eindringling Zugriff auf und die Steuerung über den Computer via IRC-Kanälen ermöglicht.

W32/Randex-Y wählt zufällig IP-Adressen aus und versucht, sich mit IPC$-Freigaben zu verbinden, die einfache Kennwörter verwenden. Wenn die Verbindung erfolgreich war, kopiert sich der Wurm in folgende remote Speicherorte:

\ADMIN$\system32\msnv32.exe
\C$\WINNT\system32\msnv32.exe

W32/Randex-Y erstellt dann einen Zeitplan, nach dem die remote erzeugten Dateien ausgeführt werden.

Jedes Mal, wenn der Wurm ausgeführt wird, verbindet er sich mit einem remoten IRC-Server und einem bestimmten Kanal. Der Wurm läuft dann als Serverprozess im Hintergrund und wartet auf Befehle.



Mfg, DCS