Win32/Yarner Worm

 Information about the Win32/Yarner worm:

Win32/Yarner is an email worm. This worm will infect Windows systems. It spreads using the email addresses present in Microsoft Windows address book. It uses its own SMTP routines to send e-mails.

Subject of the mail contains:

Trojaner-Info Newsletter <Date>

The content of the mail will be as follows:

Hallo !

Willkomen zur neuesten Newsletter-Ausgabe der Webseite Trojaner-Info.de.

Hier die Themen im Ueberblick:

1. YAW 2.0 - Unser Dialerwarner in neuer Version

************************************

1. YAW 2.0 - Unser Dialerwarner in neuer Version Viele haben ihn und viele moegen ihn - unseren Dialerwarner YAW. YAW ist nun in einer brandneuen und stark erweiterten Version verfuegbar. Alle unsere Newsletterleser bekommen ihn kostenlos zusammen mit diesem Newsletter. Also einfach die angehaengte Datei starten und YAW 2.0 installieren. Bei Fragen steht Ihnen der Programmierer des bislang einzigartigen Programmes Andreas Haak unter andreas@ants-online.de zur Verfügung. Viel Spaß mit YAW!

<http://www.trojaner-info.de/dialer/yaw.shtml>

************************************

Das war die heutige Ausgabe mit den aktuellsten Trojaner-Info News. Wir bedanken uns fuer eure Aufmerksamkeit und wuenschen allen Lesern noch eine angenehme Woche.

Mit freundlichem Gruss

Thomas Tietz & Andreas Ebert <http://www.trojaner-info.de>

************************************
Anzahl der Subscriber: 5.966 Durchschnittliche Besuchzahl/Tag: 4.488 Diese Mail ist kein Spam ! Diesen Newsletter hast du erhalten, da du in unserer Verteilerliste aufgenommen wurdest. Solltest du unseren Newsletter nicht selber abonniert haben, sondern eine andere Person ohne dein Wissen, kannst du diesen auf unseren Seiten wieder abbestellen. Oder sende uns einfach eine entsprechende E-Mail.
************************************

This mail contains an attachment yawsetup.exe. Upon execution the worm overwrites Notepad.exe to Notedpad.exe. The worm copies itself to Windows directory as random filename with a .EXE extension. Also, it creates kernei32.daa and kernei32.das files under Windows directory.

The worm makes necessary changes in registry to load itself during next startup. It modifies registry at:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Runonce

The worm may remove all the files in Windows installed drive depending on the random counter.

This worm first appeared on 19th February 2002.

 Other names of Win32/Yarner worm:

This worm is also known as I-Worm/Yarner, W32.Yarner.A, Worm_Yarner.gen, W32/Yaw.