Bitdefender Security Center

Win32.Swen.A@mm

( W32/Gibe@mm )

Ausbreitung :	high
Schaden :	low
Size:	106..496 bytes, compiled with Microsoft Visual C++ 6.0
Entdeckt :	2005 May 31

SYMPTOMS:

- The user cannot run the registry editor
- Presence of files germs0.dbv and germs1.dbv in the Windows directory
- The registry keys [HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\Run] and [HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\System] are altered
- A file with 106.496 bytes in size, of a random name, in the Windows directory.

TECHNICAL DESCRIPTION:

Win32.Swen.A@mm is an internet worm, which spreads mainly via e-mail, but also via Kazaa, Mirc. The worm usually comes as an e-mail. The subject and the body of the e-mail may vary, but the attachment is always 106.496 bytes long.

The worm may become active by running the infected attachment of an e-mail, or by running an infected file from the Mirc download folder, Kazaa, etc)

When arriving in an email message, the worm disguises as a Microsoft patch. The email messages are quite realistic and may fool some users to open the infected attachement.

Once ran, the worm checks if its already running; it does that by checking several registry keys; if the worm is already installed and running, it displays the following message box:

The worm alters several registry keys:
[HKCR\\scrfile\\shell\\open\\command] this key will allow the worm to get executed when the user attempts to open a SCR (screen saver file)

[HKCR\\exefile\\shell\\open\\command] this key will allow the worm to get executed when the user attempts to open an EXE (executable file)
[HKCR\\batfile\\shell\\open\\command] this key will allow the worm to get executed when the user attempts to open a BAT (MS-DOS batch file)

[HKCR\\piffile\\shell\\open\\command] this key will allow the worm to get executed when the user attempts to open a PIF file.

[HKCR\\comfile\\shell\\open\\command] this key will allow the worm to get executed when the user attempts to open a COM file.

[HKCR\\regfile\\shell\\open\\command] this key will allow the worm to get executed when the user attempts to open a registry file.

Also, the worm modifies the registry key [HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\System] and adds the value of 1 (true) to the key DisableRegistryTools.

When the worm is active in memory, it periodically scans the windows registered in the system. If a window contains one of the strings below, it will receive a PostQuitMessage.

\"_avp\", \"ackwin32\", \"anti-trojan\", \"aplica32\", \"apvxdwin\", \"autodown\", \"avconsol\", \"ave32\", \"avgcc32\", \"avgctrl\", \"avgw\", \"avkserv\", \"avnt\", \"avp\", \"avsched32\", \"avwin95\"
\"avwupd32\", \"blackd\", \"blackice\", \"bootwarn\", \"ccapp\", \"ccshtdwn\", \"cfiadmin\", \"cfiaudit\", \"cfind\", \"cfinet\", \"claw95\", \"dv95\", \"ecengine\", \"efinet32\",
\"esafe\", \"espwatch\", \"f-agnt95\", \"findviru\", \"fprot\", \"f-prot\", \"fprot95\", \"f-prot95\"
\"fp-win\", \"frw\", \"f-stopw\", \"gibe\", \"iamapp\", \"iamserv\", \"ibmasn\", \"ibmavsp\"
\"icload95\", \"icloadnt\", \"icmon\", \"icmoon\", \"icssuppnt\", \"icsupp\"
\"iface\", \"iomon98\", \"jedi\", \"kpfw32\", \"lockdown2000\", \"lookout\", \"luall\", \"moolive\"
\"mpftray\", \"msconfig\", \"nai_vs_stat\", \"navapw32\", \"navlu32\", \"navnt\", \"navsched\"
\"navw\", \"nisum\", \"nmain\", \"normist\", \"nupdate\", \"nupgrade\", \"nvc95\", \"outpost\", \"padmin\", \"pavcl\", \"pavsched\", \"pavw\", \"pcciomon\", \"pccmain\", \"pccwin98\", \"pcfwallicon\", \"persfw\", \"pop3trap\", \"pview\", \"rav\", \"regedit\", \"rescue\", \"safeweb\"
\"serv95\", \"sphinx\", \"sweep\", \"tca\", \"tds2\", \"vcleaner\", \"vcontrol\", \"vet32\", \"vet95\"
\"vet98\", \"vettray\", \"vscan\", \"vsecomr\", \"vshwin32\", \"vsstat\", \"webtrap\", \"wfindv32\"
\"zapro\", \"zonealarm\".

If the worm is debugged (analysed), it displays the following message:

The worm gathers e-mail addresses from the infected users address book and uses its own SMTP engine to spread; Also the worm searches for email addresses in .EML, .WAB, .DBX, .MBX, .ASP, .HT* files.

The email message looks like the following:

FROM: \"MS Corporation Security Division\"
TO: \"Commercial Partner\"
SUBJECT: New Internet Critical Upgrade

Body:
Microsoft Partner

this is the latest version of security update, the
\"September 2003, Cumulative Patch\" update which eliminates
all known security vulnerabilities affecting
MS Internet Explorer, MS Outlook and MS Outlook Express.
Install now to help protect your computer
from these vulnerabilities, the most serious of which could
allow an attacker to run executable on your computer.
This update includes the functionality =
of all previously released patches.

System requirements: Windows 95/98/Me/2000/NT/XP
This update applies to:
- MS Internet Explorer, version 4.01 and later
- MS Outlook, version 8.00 and later
- MS Outlook Express, version 4.01 and later

Recommendation: Customers should install the patch =
at the earliest opportunity.
How to install: Run attached file. Choose Yes on displayed dialog box.
How to use: You don\'t need to do anything after installing this item.

Microsoft Product Support Services and Knowledge Base articles =
can be found on the Microsoft Technical Support web site.
http://support.microsoft.com/

For security-related information about Microsoft products, please =
visit the Microsoft Security Advisor web site
http://www.microsoft.com/security/

Thank you for using Microsoft products.

Please do not reply to this message.
It was sent from an unmonitored e-mail address and we are unable =
to respond to any replies.

----------------------------------------------
The names of the actual companies and products mentioned =
herein are the trademarks of their respective owners.
Copyright 2003 Microsoft Corporation.
The worm counts the number of infected computers; probably the virus writer needed hits
on its website; It used the http://ww2.fce.vutbr.cz/bin/counter.gif/link=bacillus hit count system.

When the user clicks the infected attachement, the worm takes control and installs itself into the system. Then, it fakes an error in the Windows Messaging API (MAPI) and asks the user to enter confidential informations like password, account, SMTP server, etc.

KaZaa spreading: the worm also gets the shared KaZaa directory and copies itself there with the following names:

\'Virus Generator\', \'Magic Mushrooms Growing\', \'Cooking with Cannabis\', \'Hallucinogenic Screensaver\', \'My naked sister\', \'XXX Pictures\', \'Sick Joke\', \'XXX Video\', \'XP update\', \'Emulator PS2\', \'XboX Emulator\', \'Sex\', \'HardPorn\', \'Jenna Jameson\', \'10.000 Serials\', \'Hotmail hacker\', \'Yahoo hacker\', \'AOL hacker\'.
It also disguises itself as removal tools for various worms like Klez, Sircam, etc.

The worm also uses NEWS servers; the list is stored as a resource, packed with MS-Compress inside the virus resource section. The worm attempts to post itself to a random News server (chosen from a list of 350 news servers).

Removal instructions:

The BitDefender Virus Analyse Team has releasead a free removal tool for this particular virus.

Important: You will have to close all applications before running the tool (including the antivirus shields) and to restart the computer afterwards. Additionally you\'ll have to manually delete the infected files located in archives and the infected messages from your mail client.

The BitDefender Antisven-en.exe tool does the following:

it detects all the known Swen versions;

it deletes the files infected with Swen;

it kills the process from memory;

it repairs the Windows registry.

You may also need to restore the affected files.

To prevent the virus from replicating itself from infected machines to clean machines, you should try to disinfect all computers in the network before rebooting any of them, or unplug the network cables.

ANALYZED BY:

Mihai Chiriac
BitDefender Virus Researcher

Premium-Entfernung von Viren & Spyware

Umfassende Malware-Beseitigung durch unsere zertifizierten Experten

Kostenlose Tools & Kostenlose Tools zur Virenentfernung

Lernen Sie die leistungsstarken und kostenlosen Apps und ebenfalls kostenlosen Virenentfernungs-Tools von Bitdefender kennen! Diese coolen Apps und Plugins bieten zusätzlichen Schutz für Ihren PC, Ihr Smartphone und Ihre Aktivitäten in sozialen Netzwerken.

Bitdefender Security Center

Sicherheit im Netz. Klicken Sie hier, um die aktuellsten Meldungen und Nachrichten über Cyber-Bedrohungen, Viren und Betrugsversuche zu erhalten.

Folgen Sie uns auf:

Die E-Guides-Reihe von Bitdefender

Die E-Guides-Reihe von Bitdefender ist eine Lerninitiative, deren Ziel es ist, die Leser- und Anwendergemeinschaft von Bitdefender mit wertvollen Informationen über Bedrohungen aus dem Internet und IT-Sicherheitsfragen zu versorgen und zudem praktische Ratschläge und machbare Lösungen für alle Anforderungen rund um den Online-Schutz bereitzustellen. Die Sicherheitanalysten von Bitdefender teilen ihr Wissen um die Identifizierung und Abwehr von Malware-Bedrohungen und legen dabei besonderen Wert auf Online-Datenschutz und verschiedene Technologien, Gegenmaßnahmen und Methoden zur Abwehr von Cyber-Kriminalität.

Die E-Guides-Reihe behandelt verschiedenste Themen vom Online-Schutz für Kinder und Familien über die Sicherheit in sozialen Netzwerken und den Schutz vor Datendiebstahl bis hin zur Absicherung von ganzen Unternehmensumgebungen und richtet sich daher an ein breites Publikum aus mittelständischen Unternehmen und Privatanwendern, die sich für die Sicherheit und Integrität ihrer Netzwerke und Systeme interessieren. Die E-Guides enthalten zudem nützliche Informationen für die tägliche Arbeit von IT-Sicherheitsmanagern, System- und Netzwerkadministratoren, Entwicklern von Sicherheitstechnologien, Analysten und Forschern.

Was ist Phishing?

Auf den ersten Blick scheint alles in Ordnung zu sein: In einer freundlichen E-Mail wird der Kunde von seiner Bank oder einem Online-Versandhaus aufgefordert, er möge doch seine Daten verifizieren, also Anmeldenamen, Passwort, PIN etc. Als Grund wird angeführt, es sei ein "Zugriff Unbefugter" auf das Konto vom Kunden erfolgt. Und um ihm das "Verifizieren" so einfach wie möglich zu machen, enthält die Nachricht einen Link zu einer Internet-Seite mit einem Online-Formular. Dort möge er doch die entsprechenden Daten eingeben.

Spyware - Der Spion auf Deinem PC

Die Zeiten sind längst vorbei, in denen sich Hacker nur aus "sportiven" Motiven Zugang zu fremden PCs verschafften. Heute geht es in den meisten Fällen um Geld. Das belegt auch der "Threat Landscape Report" für das erste Halbjahr 2012 von Bitdefender. Demnach haben Cyber-Kriminelle ihre Aktivitäten ausgeweitet, um an Online-Bankdaten oder Bitcoins (elektronisches Geld für Online-Einkäufe) von Web-Nutzern zu kommen.

Firewall – Ein unverzichtbarer Schutz für den PC

Heute ist es selbstverständlich, dass PCs, Notebooks, Smartphones und Tablet-Rechner auf das Internet zugreifen. Doch damit sind Risiken verbunden, speziell Angriffe von Hackern. Deshalb sind zwei Dinge auf jedem Rechner unverzichtbar: eine leistungsfähige Anti-Spyware-Lösung, Antivirenprogramme und eine Firewall.

Anleitung zum sicheren Blogging

Wie Sie Ihr Blog und Ihre Identität vor Missbrauch schützen können

Blogging ist eine der beliebtesten Möglichkeiten, sich im Internet einer breiten Öffentlichkeit zu präsentieren und mittlerweile gibt es bereits mehr als 150 Millionen registrierte Blogs weltweit. Während der durchschnittliche Leser dieser Blogs nur auf der Suche nach Informationen und Artikeln ist, hegen Internet-Kriminelle ein ganz anderes Interesse. Sie dursuchen Blogs nach persönlichen Informationen oder nutzen sie als billigen Speicherplatz für ihre Malware-Kampagnen, um nur zwei Beispiele aus einer Vielzahl von Missbrauchsmöglichkeiten zu nennen.

Diese Anleitung enthält Richtlinien für sicheres Blogging und konzentriert sich dabei auf individuelle Blogs, die entweder vom Blogger selbst oder von kommerziellen Blog-Anbietern als Hosting-Dienstleistung betrieben werden.

Anleitung zum Schutz drahtloser Netzwerke

Wie Sie Ihr Heimnetzwerk vor Eindringlingen schützen können

Dieses Dokument richtet sich an Anwender, die zuhause bereits ein drahtloses Netzwerk eingerichtet haben oder beabsichtigen, dies zu tun. Heutztage ist die drahtlose Kommunikation aus dem täglichen Leben kaum noch wegzudenken. Internet-Kriminelle wissen jedoch jede Schwachstelle in der Konfiguration von Drahtlosnetzwerken auszunutzen, um Datenverkehr abzufangen oder die Internet-Verbindung für illegale Zwecke zu nutzen.

In dieser Anleitung erfahren Sie alles Wissenswerte über die Nutzung von ungesicherten Drahtlosnetzwerken und die richtige Konfiguration Ihres Heim-Routers oder Zugangspunkts, damit Sie Ihr Netzwerk vor Missbrauch schützen können.

Online-Leitfaden zum Jugendschutz

Wie Sie die digitalen Welten Ihrer Kinder nachhaltig schützen können

Dieses Dokument richtet sich an Familien, Eltern und Lehrer uns soll ihnen dabei helfen, die digitalen Ausflüge von Kindern und Jugendlichen möglichst sicher zu gestalten. Heute haben sich Computer durch Massenproduktion und ständige Verfügbarkeit zu einem täglichen Begleiter entwickelt und Kinder machen sich mit PC und Internet schon sehr früh vertraut. Doch trotz der unbestrittenen Vorteile im Bereich der Kommunikation kann das Internet auch ein gefährlicher Ort für Kinder sein. Es lauern E-Threats, die speziell auf diese Altersgruppe zugeschnitten sind.

Dieser E-Guide behandelt die häufigsten Risiken und Gefahren für Kinder und Jugendliche im Internet, so z.B. Cyber-Mobbing, nicht jugendfreie Inhalte, Internet-Sucht und andere schädliche Internet-Einflüsse. Gleichzeitig werden Themen wie Malware, Phishing-Attacken, Identitätsdiebstahl und Spam-Nachrichten behandelt, die Teenager heutzutage genau wie jeden anderen Internet-Nutzer betreffen. Ein Bereich mit Sicherheitstipps hilft Eltern und Lehrern diese Themen besser zu verstehen und in Angriff zu nehmen ohne dabei die Kinder außer Acht zu lassen.

Ein Leitfaden zur Online-Sicherheit für Silver Surfer

Wie man wertvolle Ideen und Anlagen gegen Cyber-Angriffe schützen kann

Dieses Dokument richtet sich an Familien und ältere Mitbürger und soll ihnen dabei helfen, sicher im Internet zu surfen und ihre Online-Aktivitäten zu genießen.

Auf den ersten Blick könnte man meinen, dass Online-Kriminalität altersunabhängig ist und unsere älteren Mitbürger im gleichen Maße bedroht wie jeden anderen unerfahrenen Internet-Nutzer. Dieser E-Guide zeigt jedoch anhand verschiedener Fallstudien, dass speziell Silver Surfer von einer Vielzahl von Bedrohungen betroffen sind, so zum Beispiel Betrugsversuche bei Rentenzahlungen, betrügerische Methoden zur Steuerzahlung oder andere Betrugsmaschen, die es auf ihr Geld abgesehen haben. Neben den Fallstudien gibt es Beispiele, Tipps und Infos, um ihnen wertvolle Handlungsempfehlungen für ihre täglichen Internet-Aktivitäten an die Hand zu geben.

Leitfaden zum Schutz vor Datendiebstahl von Unternehmensdaten

Wie Unternehmen sich vor Datendiebstahl schützen

Der E-Guide widmet sich den möglichen wunden Punkten bei der Sicherung von Unternehmensdaten, angefangen von Fragen der physischen Integrität des Netzwerks bis hin zu den komplexen Mechanismen der Cyber-Kriminalität, die sich speziell gegen Unternehmen richtet (z.B. Banking-Trojaner, Phishing-Attacken). Die enthaltenen Materialien sind zwar nicht so detailliert wie eine vollwertige technische Beschreibung, sollen jedoch IT-Administratoren den praktischen Nutzen der Funktionen der Bitdefender-Lösungen für Privat- und Geschäftskunden anhand von Situationsbeispielen aufzeigen.

Dieses Dokument unterstützt Sie bei der Entscheidung, welche Sicherheitstrategie für kleine und mittelgroße Netzwerke am sinnvollsten ist, und bietet eine gute Grundlage für weiterführende Vergleiche in diesem Bereich.

Premium-Entfernung von Viren & Spyware

Umfassende Malware-Beseitigung durch unsere zertifizierten Experten

Kostenlose Tools & Kostenlose Tools zur Virenentfernung

Bitdefender Security Center

Sicherheit im Netz. Klicken Sie hier, um die aktuellsten Meldungen und Nachrichten über Cyber-Bedrohungen, Viren und Betrugsversuche zu erhalten.

Folgen Sie uns auf:

Whitepapers

Premium-Entfernung von Viren & Spyware

Umfassende Malware-Beseitigung durch unsere zertifizierten Experten

Kostenlose Tools & Kostenlose Tools zur Virenentfernung

Bitdefender Security Center

Sicherheit im Netz. Klicken Sie hier, um die aktuellsten Meldungen und Nachrichten über Cyber-Bedrohungen, Viren und Betrugsversuche zu erhalten.

Folgen Sie uns auf:

Laden Sie jetzt die Vollversion herunter Bericht zur Online-Bedrohungslage 2. Halbjahr 2012 (PDF)

Übersicht jetzt herunterladen Bericht zur Online-Bedrohungslage 2. Halbjahr 2012 - Zusammenfassung (PDF)

Bitdefender Security Center

Bitdefender Security Center

Win32.Swen.A@mm

Die E-​Guides-​Reihe von Bitdefender

Wie Sie Ihr Blog und Ihre Identität vor Missbrauch schützen können

Wie Sie Ihr Heimnetzwerk vor Eindringlingen schützen können

Wie Sie die digitalen Welten Ihrer Kinder nachhaltig schützen können

Wie man wertvolle Ideen und Anlagen gegen Cyber-Angriffe schützen kann

Wie Unternehmen sich vor Datendiebstahl schützen

Whitepapers

Archive

Die E-Guides-Reihe von Bitdefender