Banwarum.A

Installation

The worm's file is a PE executable. When run, it drops the main worm's component to Windows System directory as the file mszsrn32.dll. This file is then injected into the winlogon.exe process.

When the DLL file is activated, it creates a startup key for itself in Windows Registry:

• [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify]

The registered module name is 'mszsrn32'. As a result the worm's DLL will get control before a user logs onto Windows.

Spreading in emails

Before spreading the worm scans for email addresses. It scans all drives from C: to Z: except CD-ROMs for files with the following extensions:

• adb
• asa
• asc
• asm
• asp
• cgi
• con
• csp
• csv
• dbx
• dlt
• doc
• dwt
• edm
• hta
• htc
• htm
• html
• inc
• jsp
• jst

• lbi
• php
• rdf
• rss
• sht
• ssi
• stm
• tbb
• tbi
• txt
• vbp
• vbs
• wab
• wml
• xht
• xls
• xml
• xml
• xsd
• xst

The worm ignores email addresses if they contain any of the following substrings:

• .arpa
• .gov
• .mil
• abuse
• admin
• avp.
• berkeley
• borland.com
• bsd.it
• bugs
• cisco
• contact
• debian
• drweb.
• fido
• gnu.org
• google
• help
• iana.
• ibm.com
• info
• kaspersky

• linux
• microsoft.com
• php.net
• postmaster
• privacy
• rating
• register
• ripe.
• root
• secure
• service
• site
• soft
• sophos
• sun.com
• support
• virus
• web
• webmaster

The worm composes different email messages. All of the messages that the worm sends out are in German. The subjects of these emails can be any of the following:

• Anzeige ist erstatet
• Betrueg bitte deine Frau mit mir!
• Bums eine Schwarze und gewinne WM-Karten!
• Bums mein Arsch!
• BundesKriminalAmt
• Du bist mein Sexgott!
• Du machst mich so Geil!
• Du Sexgott!
• Ermittlungsverfahren wurde eingeleitet
• Es ist AUS!
• Es leuft mir schon das bein Runter Honey!
• Fick mein Po!
• Ficke meine Brust!
• Gewonnen? GeWONNEN!
• Guten Tag! Hier sind ihre WM Tickets!
• Hallo!
• Hoer auf damit!
• Holen sie jetzt ihre WM Tickets ab!
• Holen sie sich WM Tickets fuer das Finalle JETZT!
• Ich bin dauergeill warum?
• Ich hab die neuen Fotos Fertig!

• Ich lauf aus bitte leck mich!
• Ich liebe dich!
• Ich zeige dich an!
• Ich Zeige sie an!
• Ihre Akte!
• Ihre IP wurde geloggt!
• JehhuuuU! WWWMMMM!!
• Komme mit!
• Lass dich Umsonst Wixen! Nur ab 18 Jahren!
• Nimm mich durch mein Schadz!
• Sie besitzen Raubkopien
• Sie betrueger!
• Sie haben WM Tickets gewonnen!
• Sie kommen ins Knast!
• Treibs mit einer schlampe!
• Umsonst mein Arschficken ab 18 Jahren!
• Warum machst du das?
• Weltmeisterschaft!
• WM Tickets!

Here are a few examples of message body texts that the worm uses:

Sehr geehrte Dame, sehr geehrter Herr, das Herunterladen von Filmen, Software und MP3s ist illegal und somit strafbar. Wir moechten Ihnen hiermit vorab mitteilen, dass Ihr Rechner unter der IP erfasst wurde. Der Inhalt Ihres Rechner wurde als Beweismittel sichergestellt und es wird ein Ermittlungsverfahren gegen Sie eingleitet.Die Strafanzeige und die Moeglichkeit zur Stellungnahme wird Ihnen in den naechsten Tagen schriftlich zugestellt.Aktenzeichen NR.:# (siehe Anhang) ACHTUNG: der Anhang ist Password geschuetzt der Password fuer den Anhang (ihre Akte) lautet: ##PASS## bitte vergessen sie ihn nicht Hochachtungsvoll i.A. Juergen Stock --- Bundeskriminalamt BKA --- Referat LS 2 --- 65173 Wiesbaden --- Tel.: +49 (0)611 - 55 - 12331 oder --- Tel.: +49 (0)611 - 55 - 0

Guten Tag sehr geehrte Damen und Herren! Meine Web-Site zeichnete Angriffe von ihrer IP Auf Ich habe mich bei T-Com beschwert und ihre Email bekommen bitte unterlassen sie alle angriffe auf meine Web-Site die Anzeige ist erstatet! Die anklage schrift hab ich der Email beigefuegt.Password fuer die Anklageschrift lautet: ##PASS## mfg Karl Stein

Hi Schadz ich schreib aus den Inet cafe in Muenchen meine neuen Fotos sind fertig und ich vermisse dich! Die fotos sind gut geweorden ich hab das alles nur dier zuliebe getann' und das weisst du! Die Fotos hab ich der Email beigefuegt ich hoffe du bist zufrieden',0Dh,0Ah ah ja und damit sie keiner ausser die oefnet hab ich ein password drauf gemacht das password ist mein name also: ##PASS## Mit liebe Monica

Sehr geehrte Damen und Herren vor kurzem habe ich eine Ueberweisung von ihrem Bank Konto bekommen und ich wuerde sie gern Fragen wie es dazu kam.Iich danke Ihnen, aber es musste warscheinlich ein Fehler unterlaufen denn ich kenne Sie nicht und Sie kennen mich nicht.Wie koennen wir diesen Missverstaendnis loesen? Am besten rufen Sie mich bitte an wenn es moeglich ist. Meine Telefonnummer lautet 035/98276590 Ich habe ein Abbild von dem Ueberweisungslog gemacht, dabei habe ich aus versehentlichen Gruenden ein Password darauf gelegt, er lautet ##PASS## Mit Freundlichen Gruessen Manfred Schmidt

Attachment names can contain any of the following strings:

• Abbild-Der-Rechnung
• akte
• Anhang
• Anhang-Tickets
• anklage
• Anklage-Material
• anklageschrift
• Anzeige
• archiv
• bescheinigung
• beweise
• bild01
• Desktop
• fick_mich
• fickmich
• fotze
• free_pics
• free_videos
• geil
• ich_lauf_aus
• ichbingeil

• ihre_akte
• IhrEnde
• Kontoauszug
• Kopien
• meinbild
• meine_moese
• mypics
• New Folder
• Rechnung
• Rechnung-Anhang
• reklament
• sexy
• Tickets
• Ueberweisung
• Weltmeisterschaft
• WM
• WM-Anhang
• WM-Tickets
• vorladung

The attachment can be an executable with a double extension or an archive created by either 7-zip, WinAce, or WinRar archivers.

Payload

The worm has backdoor capabilities. It connects to one of these sites:

• 5dime.net
• 7stick.biz
• 7stick.info
• brancholania.biz
• brancholania.net
• frachetto.com
• frachetto.info
• monti2.com
• olania.com
• olania.net

The backdoor reports to the site: its ID, uptime, version, operating system type, and some other info. Also, the backdoor part can receive commands from a hacker and do any of the following:

• Download and run files
• Perform DoS (Denial of Service) attack
• Start mass-mailing
• Start vulnerability scanner
• Update itself from Internet

Origin

The worm was named by its author as 'Win32.Zasrancheg'. It should be noted that the word 'zasrancheg' is in Russian, but is modified according to more recent slang. So it's almost certain that the creator of the worm is of Russian origin.