Banwarum.A

Classification

Category:

Malware

Platform:

W32

Type:

Worm

Aliases:

Banwarum
Banwarum.A

Summary

The first Banwarum worm variant was found at the end of May 2006. Shortly after, there appeared two slightly different variants. Banwarum worm spreads in email messages with different German subjects and body texts. Some of the worm's messages are similar to those sent by the Sober worm. The worm has backdoor functionality.

Removal

Technical Details

Installation

The worm's file is a PE executable. When run, it drops the main worm's component to Windows System directory as the file mszsrn32.dll. This file is then injected into the winlogon.exe process.

When the DLL file is activated, it creates a startup key for itself in Windows Registry:

[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify]

The registered module name is 'mszsrn32'. As a result the worm's DLL will get control before a user logs onto Windows.

Spreading in emails

Before spreading the worm scans for email addresses. It scans all drives from C: to Z: except CD-ROMs for files with the following extensions:

adb
asa
asc
asm
asp
cgi
con
csp
csv
dbx
dlt
doc
dwt
edm
hta
htc
htm
html
inc
jsp
jst

The worm ignores email addresses if they contain any of the following substrings:

.arpa
.gov
.mil
abuse
admin
avp.
berkeley
borland.com
bsd.it
bugs
cisco
contact
debian
drweb.
fido
gnu.org
google
help
iana.
ibm.com
info
kaspersky

linux
microsoft.com
php.net
postmaster
privacy
rating
register
ripe.
root
secure
service
site
soft
sophos
sun.com
support
virus
web
webmaster

The worm composes different email messages. All of the messages that the worm sends out are in German. The subjects of these emails can be any of the following:

Anzeige ist erstatet
Betrueg bitte deine Frau mit mir!
Bums eine Schwarze und gewinne WM-Karten!
Bums mein Arsch!
BundesKriminalAmt
Du bist mein Sexgott!
Du machst mich so Geil!
Du Sexgott!
Ermittlungsverfahren wurde eingeleitet
Es ist AUS!
Es leuft mir schon das bein Runter Honey!
Fick mein Po!
Ficke meine Brust!
Gewonnen? GeWONNEN!
Guten Tag! Hier sind ihre WM Tickets!
Hallo!
Hoer auf damit!
Holen sie jetzt ihre WM Tickets ab!
Holen sie sich WM Tickets fuer das Finalle JETZT!
Ich bin dauergeill warum?
Ich hab die neuen Fotos Fertig!

Ich lauf aus bitte leck mich!
Ich liebe dich!
Ich zeige dich an!
Ich Zeige sie an!
Ihre Akte!
Ihre IP wurde geloggt!
JehhuuuU! WWWMMMM!!
Komme mit!
Lass dich Umsonst Wixen! Nur ab 18 Jahren!
Nimm mich durch mein Schadz!
Sie besitzen Raubkopien
Sie betrueger!
Sie haben WM Tickets gewonnen!
Sie kommen ins Knast!
Treibs mit einer schlampe!
Umsonst mein Arschficken ab 18 Jahren!
Warum machst du das?
Weltmeisterschaft!
WM Tickets!

Here are a few examples of message body texts that the worm uses:

Sehr geehrte Dame, sehr geehrter Herr, das Herunterladen von Filmen, Software und MP3s ist illegal und somit strafbar. Wir moechten Ihnen hiermit vorab mitteilen, dass Ihr Rechner unter der IP erfasst wurde. Der Inhalt Ihres Rechner wurde als Beweismittel sichergestellt und es wird ein Ermittlungsverfahren gegen Sie eingleitet.Die Strafanzeige und die Moeglichkeit zur Stellungnahme wird Ihnen in den naechsten Tagen schriftlich zugestellt.Aktenzeichen NR.:# (siehe Anhang) ACHTUNG: der Anhang ist Password geschuetzt der Password fuer den Anhang (ihre Akte) lautet: ##PASS## bitte vergessen sie ihn nicht Hochachtungsvoll i.A. Juergen Stock --- Bundeskriminalamt BKA --- Referat LS 2 --- 65173 Wiesbaden --- Tel.: +49 (0)611 - 55 - 12331 oder --- Tel.: +49 (0)611 - 55 - 0

Guten Tag sehr geehrte Damen und Herren! Meine Web-Site zeichnete Angriffe von ihrer IP Auf Ich habe mich bei T-Com beschwert und ihre Email bekommen bitte unterlassen sie alle angriffe auf meine Web-Site die Anzeige ist erstatet! Die anklage schrift hab ich der Email beigefuegt.Password fuer die Anklageschrift lautet: ##PASS## mfg Karl Stein

Hi Schadz ich schreib aus den Inet cafe in Muenchen meine neuen Fotos sind fertig und ich vermisse dich! Die fotos sind gut geweorden ich hab das alles nur dier zuliebe getann' und das weisst du! Die Fotos hab ich der Email beigefuegt ich hoffe du bist zufrieden',0Dh,0Ah ah ja und damit sie keiner ausser die oefnet hab ich ein password drauf gemacht das password ist mein name also: ##PASS## Mit liebe Monica

Sehr geehrte Damen und Herren vor kurzem habe ich eine Ueberweisung von ihrem Bank Konto bekommen und ich wuerde sie gern Fragen wie es dazu kam.Iich danke Ihnen, aber es musste warscheinlich ein Fehler unterlaufen denn ich kenne Sie nicht und Sie kennen mich nicht.Wie koennen wir diesen Missverstaendnis loesen? Am besten rufen Sie mich bitte an wenn es moeglich ist. Meine Telefonnummer lautet 035/98276590 Ich habe ein Abbild von dem Ueberweisungslog gemacht, dabei habe ich aus versehentlichen Gruenden ein Password darauf gelegt, er lautet ##PASS## Mit Freundlichen Gruessen Manfred Schmidt

Attachment names can contain any of the following strings:

Abbild-Der-Rechnung
akte
Anhang
Anhang-Tickets
anklage
Anklage-Material
anklageschrift
Anzeige
archiv
bescheinigung
beweise
bild01
Desktop
fick_mich
fickmich
fotze
free_pics
free_videos
geil
ich_lauf_aus
ichbingeil

ihre_akte
IhrEnde
Kontoauszug
Kopien
meinbild
meine_moese
mypics
New Folder
Rechnung
Rechnung-Anhang
reklament
sexy
Tickets
Ueberweisung
Weltmeisterschaft
WM
WM-Anhang
WM-Tickets
vorladung

The attachment can be an executable with a double extension or an archive created by either 7-zip, WinAce, or WinRar archivers.

Payload

The worm has backdoor capabilities. It connects to one of these sites:

5dime.net
7stick.biz
7stick.info
brancholania.biz
brancholania.net
frachetto.com
frachetto.info
monti2.com
olania.com
olania.net

The backdoor reports to the site: its ID, uptime, version, operating system type, and some other info. Also, the backdoor part can receive commands from a hacker and do any of the following:

Download and run files
Perform DoS (Denial of Service) attack
Start mass-mailing
Start vulnerability scanner
Update itself from Internet

Origin

The worm was named by its author as 'Win32.Zasrancheg'. It should be noted that the word 'zasrancheg' is in Russian, but is modified according to more recent slang. So it's almost certain that the creator of the worm is of Russian origin.

More Support

Community

Ask questions in our Community.

User guides

Check the user guide for instructions.

Contact Support

Chat with with or call an agent.

Submit a Sample

Submit a file or URL for analysis.