The first Banwarum worm variant was found at the end of May 2006. Shortly after, there appeared two slightly different variants. Banwarum worm spreads in email messages with different German subjects and body texts. Some of the worm's messages are similar to those sent by the Sober worm. The worm has backdoor functionality.
Based on the settings of your F-Secure security product, it will either move the file to the quarantine where it cannot spread or cause harm, or remove it.
A False Positive is when a file is incorrectly detected as harmful, usually because its code or behavior resembles known harmful programs. A False Positive will usually be fixed in a subsequent database update without any action needed on your part. If you wish, you may also:
Check for the latest database updates
First check if your F-Secure security program is using the latest updates, then try scanning the file again.
Submit a sample
After checking, if you still believe the file is incorrectly detected, you can submit a sample of it for re-analysis.
Note: If the file was moved to quarantine, you need to collect the file from quarantine before you can submit it.
Exclude a file from further scanning
If you are certain that the file is safe and want to continue using it, you can exclude it from further scanning by the F-Secure security product.
Note: You need administrative rights to change the settings.
The worm's file is a PE executable. When run, it drops the main worm's component to Windows System directory as the file mszsrn32.dll. This file is then injected into the winlogon.exe process.
When the DLL file is activated, it creates a startup key for itself in Windows Registry:
The registered module name is 'mszsrn32'. As a result the worm's DLL will get control before a user logs onto Windows.
Before spreading the worm scans for email addresses. It scans all drives from C: to Z: except CD-ROMs for files with the following extensions:
The worm ignores email addresses if they contain any of the following substrings:
The worm composes different email messages. All of the messages that the worm sends out are in German. The subjects of these emails can be any of the following:
Here are a few examples of message body texts that the worm uses:
Sehr geehrte Dame, sehr geehrter Herr, das Herunterladen von Filmen, Software und MP3s ist illegal und somit strafbar. Wir moechten Ihnen hiermit vorab mitteilen, dass Ihr Rechner unter der IP erfasst wurde. Der Inhalt Ihres Rechner wurde als Beweismittel sichergestellt und es wird ein Ermittlungsverfahren gegen Sie eingleitet.Die Strafanzeige und die Moeglichkeit zur Stellungnahme wird Ihnen in den naechsten Tagen schriftlich zugestellt.Aktenzeichen NR.:# (siehe Anhang) ACHTUNG: der Anhang ist Password geschuetzt der Password fuer den Anhang (ihre Akte) lautet: ##PASS## bitte vergessen sie ihn nicht Hochachtungsvoll i.A. Juergen Stock --- Bundeskriminalamt BKA --- Referat LS 2 --- 65173 Wiesbaden --- Tel.: +49 (0)611 - 55 - 12331 oder --- Tel.: +49 (0)611 - 55 - 0
Guten Tag sehr geehrte Damen und Herren! Meine Web-Site zeichnete Angriffe von ihrer IP Auf Ich habe mich bei T-Com beschwert und ihre Email bekommen bitte unterlassen sie alle angriffe auf meine Web-Site die Anzeige ist erstatet! Die anklage schrift hab ich der Email beigefuegt.Password fuer die Anklageschrift lautet: ##PASS## mfg Karl Stein
Hi Schadz ich schreib aus den Inet cafe in Muenchen meine neuen Fotos sind fertig und ich vermisse dich! Die fotos sind gut geweorden ich hab das alles nur dier zuliebe getann' und das weisst du! Die Fotos hab ich der Email beigefuegt ich hoffe du bist zufrieden',0Dh,0Ah ah ja und damit sie keiner ausser die oefnet hab ich ein password drauf gemacht das password ist mein name also: ##PASS## Mit liebe Monica
Sehr geehrte Damen und Herren vor kurzem habe ich eine Ueberweisung von ihrem Bank Konto bekommen und ich wuerde sie gern Fragen wie es dazu kam.Iich danke Ihnen, aber es musste warscheinlich ein Fehler unterlaufen denn ich kenne Sie nicht und Sie kennen mich nicht.Wie koennen wir diesen Missverstaendnis loesen? Am besten rufen Sie mich bitte an wenn es moeglich ist. Meine Telefonnummer lautet 035/98276590 Ich habe ein Abbild von dem Ueberweisungslog gemacht, dabei habe ich aus versehentlichen Gruenden ein Password darauf gelegt, er lautet ##PASS## Mit Freundlichen Gruessen Manfred Schmidt
Attachment names can contain any of the following strings:
The attachment can be an executable with a double extension or an archive created by either 7-zip, WinAce, or WinRar archivers.
The worm has backdoor capabilities. It connects to one of these sites:
The backdoor reports to the site: its ID, uptime, version, operating system type, and some other info. Also, the backdoor part can receive commands from a hacker and do any of the following:
The worm was named by its author as 'Win32.Zasrancheg'. It should be noted that the word 'zasrancheg' is in Russian, but is modified according to more recent slang. So it's almost certain that the creator of the worm is of Russian origin.