VBS.Fireburn

Der neue Email-Wurm Fireburn versendet sich wie seine beiden Vorgänger "ILOVEYOU" und "NewLove" via Outlook. Seine Schadensfunktion startet am 20. Juni eines jeden Jahres.

Der Wurm versendet sich an alle Einträge im Adressbuch von OutLook. Dabei erstellt er nicht für jede Person eine eigene Email, sondern er trägt alle Kontakte in eine einzige Email als "Blind Carbon Copy" (BCC) ein. Außerdem kopiert er sich selbst nach c:\windows\rundll32.vbs.

Wird das infektiöse Attachment auf einem deutschen Rechnersystem ausgeführt, so wird auch eine Email mit deutschem Text versendet. Diese könnte so aussehen:

Wird der Virus auf einem englischem Rechnersystem ausgeführt, sieht die Email so aus:

 

Der Anhang der Email kann folgende 8 Dateinamen haben:

"Ultra-Hardcore-Bondage.JPG.vbs"
"Christina__NUDE!!!.JPG.vbs"
"CuteJany__BigTits!.GIF.vbs"
"MyGirlfriend__NUDE!.JPG.vbs"
"Aguiliera__NUDE!!.JPG.vbs"
"!Jany__Gets-fucked!.GIF.vbs"
"cute__EmmaPeel!!!.JPG.vbs"
"Julie17__xxx.GIF.vbs"

 

Windows wird auf den Namen FireburN registriert. Dies kann man nachprüfen, indem man auf "START" -> "Einstellungen" -> "Systemsteuerung" -> "System" geht.

Ist das Chatprogramm mIRC in einem der folgenden zwei Pfade installiert, so wird eine eventuell vorhandene "script.ini" überschrieben:

Pfad 1: C:\Programme\mirc
Pfad 2: C:\mirc

Die neue "script.ini" versendet die im c:\windows erstellte rundll32.vbs an alle anderen Personen im IRC Chat.

Der Wurm trägt sich auch unter folgendem Schlüssel in die Registry ein:

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\
MSrundll32=rundll32.vbs

Am 20. Juni aktiviert er seine Schadensfunktion. Folgende Meldung wird auf dem Bildschirm ausgegeben:

Danach werden Maus und Tastatur deaktiviert. Dies kann auch nicht durch ein zurückstellen des Datums wieder rückgängig gemacht werden. Die Registryschlüssel für die Deaktivierung von Tastatur und Maus lauten:

1. HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\Shut_Up
rundll32 mouse,disable

2. HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\Shut_Up2
rundll32 keyboard,disable

 

  weitere Virenbeschreibungen
  Virenkunde