Name
des Virus |
W32/Toal-A |
Typ |
Internet Wurm |
befallene Betriebssysteme |
Windows 9x/NT/2000/ME/XP |
Alias |
W32.Toal.A@mm, W95/Toal |
Infizierung:
Es handelt sich bei diesem
Virus um einen Email fähigen Wurm. Er wird über das Attachment BinLaden_Brasil.exe übermittelt. In der Betreffzeile der Email stehen zahlreiche Variationen,
die sich alle auf den Konflikt in Afghanistan beziehen. Hier einige
Beispiele:
Bin laden toillete paper !!
Sadam hussein & binladen in love
Bush fucks bin laden hardly <:p
Is osama bin laden bad-loved ?
Die Email selbst enthält
keinerlei Text.
Schadensroutine:
Beim Ausführen der angehängten exe-Datei
wird vom Virus eine INVICTUS.DLL
im Windows-Systemverzeichnis angelegt. Der Virus erstellt außerdem Kopien
von sich im Verzeichnis C:\. Wird der Virus zum ersten Mal gestartet, so
fügt er seinen Pfadnamen im Abschnitt [Boot] in der System.ini hinzu.
Dadurch wird der Virus automatisch bei jedem Neustart aktiv.
Der Toal-A infiziert außerdem die Dateien
HH.exe und Explorer.exe (im Windows-Verzeichnis) und versucht dasselbe bei
weiteren ausgewählten Dateien, vorzugsweise Netstart.exe und Calc.exe.
Jedesmal wenn dann eines dieser Programme ausgeführt wird, startet auch
der Virus von Neuem.
Der Virus sucht nach aktiven Virenscannern
und Firewalls und versucht diese zu beenden.
Es kann vorkommen, daß Toal-A sich auch
sichtbar macht. Es werden dann verschieden farbige Slogans auf dem Desktop
sichtbar und es erscheint ein Textfenster.
Um sich besser verbreiten zu
können, versucht sich der Virus dann noch mit einer nicht-lokalen
ICQ-Seite zu verbinden und dort Infos über andere Computeranwender
herunterzuladen. Er sendet sich dann automatisch an die gefundenen
Emailadressen.
Bemerkungen:
Der Toal-A nutzt eine Schwachstelle im
Internet Explorer 5.01/5.5 aus. Die Version 5.01 mit Service Pack 2 ist
hingegen sicher. Wegen dieser Schwachstelle wird das Attachment direkt
ausgeführt, wenn die Email nur angeschaut wird. Bei Microsoft steht nun
ein Patch zur Verfügung, daß diese Stelle schließt.
Download des Patches
Der Virenprozess dauert in der Regel etwa
5-10 Minuten. Er kann nicht mit dem Taskmanager beendet werden!
Copyright liegt bei All-About-PC. Alle Rechte vorbehalten.
Alle Information auf dieser Website durch All-About-PC urheberrechtlich geschützt.
Reproduktion und Vertrieb in jeglicher Form ohne Zustimmung der Redaktion sind
verboten.
Wiewohl alle Informationen auf dieser Website streng recherchiert und weitestgehend durch
Sekundärquellen gegengeprüft und bestätigt werden, kann für den Inhalt und daraus
etwaig entstehenden Schaden keine Verantwortung übernommen werden. |
|
