Infizierung:
Der Virus wird per Email auf Ihr System übertragen. Sobald man den Anhang aktiviert, wird die Schadensroutine gestartet. Der Anhang besteht aus einer .EXE-Datei, die durch Kyle aus der Fernsehserie SouthPark dargestellt wird.
Die Email hat folgendes Aussehen:

Betreff:	C:\CoolProgs\Pretty Park.exe
Text:	Test Pretty Park.exe :)
Anhang:	(in einigen Fällen auch "Pretty~1.exe")

Schadensroutine:
Der Virus versucht alle 30 Minuten Emails an alle Adressen im Outlook Adressbuch zu schicken. Eine zweite Routine versucht sich mit dem IRC-Server in Verbindung zu setzen. Wird er mit diesem verbunden, so versucht er die Verbindung durch Senden von Daten zu halten, um alle Befehle vom IRC-Kanal zu erhalten. Solange dies der Fall ist, kann der Autor des Viruses ihn als trojanisches Pferd nutzen und Informationen wie Computername, registrierte Benutzer, Passworter etc. abfragen.

Schutz & Entfernung:

1. Lassen Sie einen Virenscanner laufen und notieren Sie sich die gefundenen infizierten Virusdateien. Entfernen Sie den Virus noch nicht! Falls Sie dies trotzdem schon gemacht haben, führen Sie die Schritte 10-12 aus.
2. Starten Sie Regedit (Start => Ausführen => "Regedit" oder "Regedt32" unter NT)
3. Entfernen Sie die Referenzen des Viruses von folgenden Registrierungsschlüsseln:
   HKEY_CLASSES_ROOT\exefile\shell\open\command\
   HKEY_LOCAL_MACHINE\exefile\CLASSES\exefile\shell\open\command\
   HKEY_LOCAL_MACHINE\Software\CLASSES\exefile\shell\open\command (Falls er existiert)
   
   Alle sollten nur den Wert "%1%*" enthalten.
4. Falls möglich, entfernen Sie alle Schlüssel, die den Virus starten unter:
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices\
   und
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
5. Entfernen Sie den Registrierungsschlüssel (falls existent)
   HKEY_CLASSES_ROOT\.dl
   und schließen Sie den Registrierungseditor.
6. Editieren Sie die WIN.INI und entfernen Sie dort die Verweise auf den Virus unter der run-Zeile in [windows].
7. Editieren Sie die SYSTEM.INI und entfernen Sie den Virus aus der shell-Zeile in [boot]. Diese sollte nur die Datei EXPLORER.EXE enthalten!
8. Neustart ihres PCs
9. Enfernen Sie alle Virusprogramme. Falls eine Entfernung nicht möglich ist, wiederholen Sie die Schritte 1-8 und versuchen Sie es erneut.
10. Sollte Sie den Virus entfernt haben, bevor Sie die Registrierung geändert haben, so sollten Sie diese schnell reparieren.
    Starten Sie den MS-DOS Modus. Dort legen Sie eine Datei UNDO.REG an und editieren diese (mit "Edit" ). Tragen Sie folgende Befehle ein:
    REGEDIT4
    [HKEY_CLASSES_ROOT\exefile\shell\open\command]
    @="\"%1\" %*"
    [HKEY_LOCAL_MACHINE\exefile\CLASSES\exefile\shell\open\command]
    @="\"%1\" %*"
11. Speichern Sie die Datei ins Windows Verzeichnis (als UNDO.REG)
12. Starten Sie Windows und geben Sie unter "Start => Ausführen" "UNDO.REG" ein. Die Registrierungsdatei sollte nun importiert werden.

Bemerkungen:
Der Virus ist die nicht komprimierte Version des Virus W32/PrettyPark.worm.

Zurück

Zur Virenübersicht

Virusbeschreibung per Email senden

Virusbeschreibung ausdrucken