Banwarum.A

Classification

Category :

Malware

Type :

Worm

Aliases :

Banwarum, Banwarum.A

Summary

The first Banwarum worm variant was found at the end of May 2006. Shortly after, there appeared two slightly different variants. Banwarum worm spreads in email messages with different German subjects and body texts. Some of the worm's messages are similar to those sent by the Sober worm. The worm has backdoor functionality.

Removal

Based on the settings of your F-Secure security product, it will either move the file to the quarantine where it cannot spread or cause harm, or remove it.

A False Positive is when a file is incorrectly detected as harmful, usually because its code or behavior resembles known harmful programs. A False Positive will usually be fixed in a subsequent database update without any action needed on your part. If you wish, you may also:

  • Check for the latest database updates

    First check if your F-Secure security program is using the latest updates, then try scanning the file again.

  • Submit a sample

    After checking, if you still believe the file is incorrectly detected, you can submit a sample of it for re-analysis.

    Note: If the file was moved to quarantine, you need to collect the file from quarantine before you can submit it.

  • Exclude a file from further scanning

    If you are certain that the file is safe and want to continue using it, you can exclude it from further scanning by the F-Secure security product.

    Note: You need administrative rights to change the settings.

Technical Details

Installation

The worm's file is a PE executable. When run, it drops the main worm's component to Windows System directory as the file mszsrn32.dll. This file is then injected into the winlogon.exe process.

When the DLL file is activated, it creates a startup key for itself in Windows Registry:

  • [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify]

The registered module name is 'mszsrn32'. As a result the worm's DLL will get control before a user logs onto Windows.

Spreading in emails

Before spreading the worm scans for email addresses. It scans all drives from C: to Z: except CD-ROMs for files with the following extensions:

  • adb
  • asa
  • asc
  • asm
  • asp
  • cgi
  • con
  • csp
  • csv
  • dbx
  • dlt
  • doc
  • dwt
  • edm
  • hta
  • htc
  • htm
  • html
  • inc
  • jsp
  • jst
  • lbi
  • php
  • rdf
  • rss
  • sht
  • ssi
  • stm
  • tbb
  • tbi
  • txt
  • vbp
  • vbs
  • wab
  • wml
  • xht
  • xls
  • xml
  • xml
  • xsd
  • xst

The worm ignores email addresses if they contain any of the following substrings:

  • .arpa
  • .gov
  • .mil
  • abuse
  • admin
  • avp.
  • berkeley
  • borland.com
  • bsd.it
  • bugs
  • cisco
  • contact
  • debian
  • drweb.
  • fido
  • gnu.org
  • google
  • help
  • iana.
  • ibm.com
  • info
  • kaspersky
  • linux
  • microsoft.com
  • php.net
  • postmaster
  • privacy
  • rating
  • register
  • ripe.
  • root
  • secure
  • service
  • site
  • soft
  • sophos
  • sun.com
  • support
  • virus
  • web
  • webmaster

The worm composes different email messages. All of the messages that the worm sends out are in German. The subjects of these emails can be any of the following:

  • Anzeige ist erstatet
  • Betrueg bitte deine Frau mit mir!
  • Bums eine Schwarze und gewinne WM-Karten!
  • Bums mein Arsch!
  • BundesKriminalAmt
  • Du bist mein Sexgott!
  • Du machst mich so Geil!
  • Du Sexgott!
  • Ermittlungsverfahren wurde eingeleitet
  • Es ist AUS!
  • Es leuft mir schon das bein Runter Honey!
  • Fick mein Po!
  • Ficke meine Brust!
  • Gewonnen? GeWONNEN!
  • Guten Tag! Hier sind ihre WM Tickets!
  • Hallo!
  • Hoer auf damit!
  • Holen sie jetzt ihre WM Tickets ab!
  • Holen sie sich WM Tickets fuer das Finalle JETZT!
  • Ich bin dauergeill warum?
  • Ich hab die neuen Fotos Fertig!
  • Ich lauf aus bitte leck mich!
  • Ich liebe dich!
  • Ich zeige dich an!
  • Ich Zeige sie an!
  • Ihre Akte!
  • Ihre IP wurde geloggt!
  • JehhuuuU! WWWMMMM!!
  • Komme mit!
  • Lass dich Umsonst Wixen! Nur ab 18 Jahren!
  • Nimm mich durch mein Schadz!
  • Sie besitzen Raubkopien
  • Sie betrueger!
  • Sie haben WM Tickets gewonnen!
  • Sie kommen ins Knast!
  • Treibs mit einer schlampe!
  • Umsonst mein Arschficken ab 18 Jahren!
  • Warum machst du das?
  • Weltmeisterschaft!
  • WM Tickets!

Here are a few examples of message body texts that the worm uses:

Sehr geehrte Dame, sehr geehrter Herr,  das Herunterladen von Filmen, Software und    
MP3s ist illegal und  somit strafbar. Wir moechten Ihnen hiermit vorab mitteilen,    
dass  Ihr Rechner unter der IP erfasst wurde. Der Inhalt Ihres Rechner  wurde als    
Beweismittel sichergestellt und es wird ein  Ermittlungsverfahren gegen Sie eingleitet.Die    
Strafanzeige und die Moeglichkeit zur Stellungnahme wird  Ihnen in den naechsten Tagen    
schriftlich zugestellt.Aktenzeichen NR.:# (siehe Anhang)  ACHTUNG: der Anhang ist    
Password geschuetzt  
der Password fuer den Anhang (ihre Akte)  
lautet: ##PASS##  bitte    
vergessen sie ihn nicht  
Hochachtungsvoll  i.A. Juergen Stock  
--- Bundeskriminalamt    BKA  
--- Referat LS 2  
--- 65173 Wiesbaden  
--- Tel.: +49 (0)611 - 55 - 12331 oder    
--- Tel.: +49 (0)611 - 55 - 0 
Guten Tag sehr geehrte Damen und Herren!  
Meine Web-Site zeichnete Angriffe von ihrer    
IP Auf  Ich habe mich bei T-Com beschwert und ihre Email bekommen  bitte unterlassen    
sie alle angriffe auf meine Web-Site  die Anzeige ist erstatet! Die anklage schrift    
hab ich der Email beigefuegt.Password fuer die Anklageschrift lautet: ##PASS##  mfg    
Karl Stein 
Hi Schadz ich schreib aus den Inet cafe in Muenchen  meine neuen Fotos sind fertig    
und ich vermisse dich!  Die fotos sind gut geweorden ich hab das alles nur dier zuliebe    
getann'  und das weisst du!  Die Fotos hab ich der Email beigefuegt ich hoffe du bist    
zufrieden',0Dh,0Ah  ah ja und damit sie keiner ausser die oefnet hab ich ein password    
drauf gemacht das password ist mein name also: ##PASS##  Mit liebe Monica 
Sehr geehrte Damen und Herren  
vor kurzem habe ich eine Ueberweisung von ihrem Bank    
Konto bekommen und ich wuerde sie gern Fragen wie es dazu kam.Iich danke Ihnen, aber    
es musste warscheinlich ein Fehler unterlaufen denn ich kenne Sie nicht und Sie kennen    
mich nicht.Wie koennen wir diesen Missverstaendnis loesen? Am besten rufen Sie mich    
bitte an wenn es moeglich ist. Meine Telefonnummer lautet 035/98276590  Ich habe ein    
Abbild von dem Ueberweisungslog gemacht, dabei habe ich aus versehentlichen Gruenden    
ein Password darauf gelegt, er lautet ##PASS##   
Mit Freundlichen 
Gruessen  
Manfred    
Schmidt

Attachment names can contain any of the following strings:

  • Abbild-Der-Rechnung
  • akte
  • Anhang
  • Anhang-Tickets
  • anklage
  • Anklage-Material
  • anklageschrift
  • Anzeige
  • archiv
  • bescheinigung
  • beweise
  • bild01
  • Desktop
  • fick_mich
  • fickmich
  • fotze
  • free_pics
  • free_videos
  • geil
  • ich_lauf_aus
  • ichbingeil
  • ihre_akte
  • IhrEnde
  • Kontoauszug
  • Kopien
  • meinbild
  • meine_moese
  • mypics
  • New Folder
  • Rechnung
  • Rechnung-Anhang
  • reklament
  • sexy
  • Tickets
  • Ueberweisung
  • Weltmeisterschaft
  • WM
  • WM-Anhang
  • WM-Tickets
  • vorladung

The attachment can be an executable with a double extension or an archive created by either 7-zip, WinAce, or WinRar archivers.

Payload

The worm has backdoor capabilities. It connects to one of these sites:

  • 5dime.net
  • 7stick.biz
  • 7stick.info
  • brancholania.biz
  • brancholania.net
  • frachetto.com
  • frachetto.info
  • monti2.com
  • olania.com
  • olania.net

The backdoor reports to the site: its ID, uptime, version, operating system type, and some other info. Also, the backdoor part can receive commands from a hacker and do any of the following:

  • Download and run files
  • Perform DoS (Denial of Service) attack
  • Start mass-mailing
  • Start vulnerability scanner
  • Update itself from Internet

Origin

The worm was named by its author as 'Win32.Zasrancheg'. It should be noted that the word 'zasrancheg' is in Russian, but is modified according to more recent slang. So it's almost certain that the creator of the worm is of Russian origin.