Threat Description

Banwarum.A

Details

Aliases: Banwarum.A
Category: Malware
Type: Backdoor, Email-Worm
Platform: W32

Summary



The first Banwarum worm variant was found at the end of May 2006. Shortly after, there appeared two slightly different variants. Banwarum worm spreads in e-mail messages with different German subjects and body texts. Some of the worm's messages are similar to those sent by the Sober worm. The worm has backdoor functionality.



Removal



Automatic Disinfection

Allow F-Secure Anti-Virus to disinfect the relevant files.

For more general information on disinfection, please see Removal Instructions.



Technical Details



Installation to System

The worm's file is a PE executable. When run, it drops the main worm's component to Windows System directory as the file mszsrn32.dll. This file is then injected into the winlogon.exe process. When the DLL file is activated, it creates a startup key for itself in Windows Registry: [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify] The registered module name is 'mszsrn32'. As a result the worm's DLL will get control before a user logs onto Windows.

Spreading in E-mails

Before spreading the worm scans for e-mail addresses. It scans all drives from C: to Z: except CD-ROMs for files with the following extensions:

  • adb
  • asa
  • asc
  • asm
  • asp
  • cgi
  • con
  • csp
  • csv
  • dbx
  • dlt
  • doc
  • dwt
  • edm
  • hta
  • htc
  • htm
  • html
  • inc
  • jsp
  • jst
  • lbi
  • php
  • rdf
  • rss
  • sht
  • ssi
  • stm
  • tbb
  • tbi
  • txt
  • vbp
  • vbs
  • wab
  • wml
  • xht
  • xls
  • xml
  • xml
  • xsd
  • xst

The worm ignores e-mail addresses if they contain any of the following substrings:

  • .arpa
  • .gov
  • .mil
  • abuse
  • admin
  • avp.
  • berkeley
  • borland.com
  • bsd.it
  • bugs
  • cisco
  • contact
  • debian
  • drweb.
  • fido
  • gnu.org
  • google
  • help
  • iana.
  • ibm.com
  • info
  • kaspersky
  • linux
  • microsoft.com
  • php.net
  • postmaster
  • privacy
  • rating
  • register
  • ripe.
  • root
  • secure
  • service
  • site
  • soft
  • sophos
  • sun.com
  • support
  • virus
  • web
  • webmaster

The worm composes different e-mail messages. All of the messages that the worm sends out are in German. The subjects of these e-mails can be any of the following:

  • Anzeige ist erstatet
  • Betrueg bitte deine Frau mit mir!
  • Bums eine Schwarze und gewinne WM-Karten!
  • Bums mein Arsch!
  • BundesKriminalAmt
  • Du bist mein Sexgott!
  • Du machst mich so Geil!
  • Du Sexgott!
  • Ermittlungsverfahren wurde eingeleitet
  • Es ist AUS!
  • Es leuft mir schon das bein Runter Honey!
  • Fick mein Po!
  • Ficke meine Brust!
  • Gewonnen? GeWONNEN!
  • Guten Tag! Hier sind ihre WM Tickets!
  • Hallo!
  • Hoer auf damit!
  • Holen sie jetzt ihre WM Tickets ab!
  • Holen sie sich WM Tickets fuer das Finalle JETZT!
  • Ich bin dauergeill warum?
  • Ich hab die neuen Fotos Fertig!
  • Ich lauf aus bitte leck mich!
  • Ich liebe dich!
  • Ich zeige dich an!
  • Ich Zeige sie an!
  • Ihre Akte!
  • Ihre IP wurde geloggt!
  • JehhuuuU! WWWMMMM!!
  • Komme mit!
  • Lass dich Umsonst Wixen! Nur ab 18 Jahren!
  • Nimm mich durch mein Schadz!
  • Sie besitzen Raubkopien
  • Sie betrueger!
  • Sie haben WM Tickets gewonnen!
  • Sie kommen ins Knast!
  • Treibs mit einer schlampe!
  • Umsonst mein Arschficken ab 18 Jahren!
  • Warum machst du das?
  • Weltmeisterschaft!
  • WM Tickets!

Here are a few examples of message body texts that the worm uses:

  • Sehr geehrte Dame, sehr geehrter Herr, das Herunterladen von Filmen, Software und MP3s ist illegal und somit strafbar. Wir moechten Ihnen hiermit vorab mitteilen, dass Ihr Rechner unter der IP erfasst wurde. Der Inhalt Ihres Rechner wurde als Beweismittel sichergestellt und es wird ein Ermittlungsverfahren gegen Sie eingleitet.Die Strafanzeige und die Moeglichkeit zur Stellungnahme wird Ihnen in den naechsten Tagen schriftlich zugestellt.Aktenzeichen NR.:# (siehe Anhang) ACHTUNG: der Anhang ist Password geschuetzt der Password fuer den Anhang (ihre Akte) lautet: ##PASS## bitte vergessen sie ihn nicht Hochachtungsvoll i.A. Juergen Stock --- Bundeskriminalamt BKA --- Referat LS 2 --- 65173 Wiesbaden --- Tel.: +49 (0)611 - 55 - 12331 oder --- Tel.: +49 (0)611 - 55 - 0
  • Guten Tag sehr geehrte Damen und Herren! Meine Web-Site zeichnete Angriffe von ihrer IP Auf Ich habe mich bei T-Com beschwert und ihre Email bekommen bitte unterlassen sie alle angriffe auf meine Web-Site die Anzeige ist erstatet! Die anklage schrift hab ich der Email beigefuegt.Password fuer die Anklageschrift lautet: ##PASS## mfg Karl Stein
  • Hi Schadz ich schreib aus den Inet cafe in Muenchen meine neuen Fotos sind fertig und ich vermisse dich! Die fotos sind gut geweorden ich hab das alles nur dier zuliebe getann' und das weisst du! Die Fotos hab ich der Email beigefuegt ich hoffe du bist zufrieden',0Dh,0Ah ah ja und damit sie keiner ausser die oefnet hab ich ein password drauf gemacht das password ist mein name also: ##PASS## Mit liebe Monica
  • Sehr geehrte Damen und Herren vor kurzem habe ich eine Ueberweisung von ihrem Bank Konto bekommen und ich wuerde sie gern Fragen wie es dazu kam.Iich danke Ihnen, aber es musste warscheinlich ein Fehler unterlaufen denn ich kenne Sie nicht und Sie kennen mich nicht.Wie koennen wir diesen Missverstaendnis loesen? Am besten rufen Sie mich bitte an wenn es moeglich ist. Meine Telefonnummer lautet 035/98276590 Ich habe ein Abbild von dem Ueberweisungslog gemacht, dabei habe ich aus versehentlichen Gruenden ein Password darauf gelegt, er lautet ##PASS## Mit Freundlichen Gruessen Manfred Schmidt

Attachment names can contain any of the following strings:

  • Abbild-Der-Rechnung
  • akte
  • Anhang
  • Anhang-Tickets
  • anklage
  • Anklage-Material
  • anklageschrift
  • Anzeige
  • archiv
  • bescheinigung
  • beweise
  • bild01
  • Desktop
  • fick_mich
  • fickmich
  • fotze
  • free_pics
  • free_videos
  • geil
  • ich_lauf_aus
  • ichbingeil
  • ihre_akte
  • IhrEnde
  • Kontoauszug
  • Kopien
  • meinbild
  • meine_moese
  • mypics
  • New Folder
  • Rechnung
  • Rechnung-Anhang
  • reklament
  • sexy
  • Tickets
  • Ueberweisung
  • Weltmeisterschaft
  • WM
  • WM-Anhang
  • WM-Tickets
  • vorladung

The attachment can be an executable with a double extension or an archive created by either 7-zip, WinAce, or WinRar archivers.

Payload

The worm has backdoor capabilities. It connects to one of these sites:

  • 5dime.net
  • 7stick.biz
  • 7stick.info
  • brancholania.biz
  • brancholania.net
  • frachetto.com
  • frachetto.info
  • monti2.com
  • olania.com
  • olania.net

The backdoor reports to the site: its ID, uptime, version, operating system type, and some other info. Also, the backdoor part can receive commands from a hacker and do any of the following:

  • Download and run files
  • Perform DoS (Denial of Service) attack
  • Start mass-mailing
  • Start vulnerability scanner
  • Update itself from Internet

Origin

The worm was named by its author as 'Win32.Zasrancheg'. It should be noted that the word 'zasrancheg' is in Russian, but is modified according to more recent slang. So it's almost certain that the creator of the worm is of Russian origin.



Detection



Detection Type: PC
Database: 2006-05-24_02




SUBMIT A SAMPLE

Suspect a file or URL was wrongly detected? Submit a sample to our Labs for analysis

Submit Now

Give And Get Advice

Give advice. Get advice. Share the knowledge on our free discussion forum.

Learn More