Name:TR/PSW.LDPinch.GKA
Entdeckt am:24/03/2006
Art:Trojan
In freier Wildbahn:Ja
Gemeldete Infektionen:Niedrig
Verbreitungspotenzial:Niedrig
Schadenspotenzial:Mittel
Statische Datei:Ja
Dateigröße:116.736 Bytes
MD5 Prüfsumme:fcbf84013de305e17f1eb09fd6ecdd71
VDF Version:6.34.00.91

 Allgemein Verbreitungsmethode:
   • Keine eigene Verbreitungsroutine


Alias:
   •  Eset: Win32/PSW.LdPinch.NBT


Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003


Auswirkungen:
   • Erstellt eine potentiell gefährliche Datei
   • Änderung an der Registry
   • Stiehlt Informationen

 Dateien Eine Kopie seiner selbst wird hier erzeugt:
   • %WINDIR%\%ausgeführte Datei%



Es wird folgende Datei erstellt:

– %WINDIR%\ihook.dll Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: TR/PSWLDPinch.GK.1

 Registry Der folgende Registryschlüssel wird hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

– HKCU\Software\Microsoft\Windows\CurrentVersion\Run
   • "SVCHOST"="%WINDIR%\%ausgeführte Datei%"



Folgender Registryschlüssel wird hinzugefügt:

– HKCU\Software\Intel
   • "Data"=%gestohlene Infromation%

 Email Es besitzt keine eigene Verbreitungsroutine verschickt jedoch eine Email. Der Empfänger ist möglicherweise der Author. Die Einzelheiten sind im folgenden aufgeführt:


Design der Email:
 


Von: cooli4@mail.ru
An: cooli4@mail.ru
Betreff: Passwords from ld-pinch (%Name des Computers%)
Body:
   • %gestohlene Infromation%

 Diebstahl Es wird versucht folgende Information zu klauen:

– Passwörter folgender Programme:
   • ICQ
   • Miranda
   • The Bat!
   • Windows Commander
   • Total Commander
   • Far

 Datei Einzelheiten Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit folgenden Laufzeitpackern gepackt:
   • NSPack
   • Obsidium

Die Beschreibung wurde erstellt von Irina Boldea am Donnerstag, 23. März 2006
Die Beschreibung wurde geändert von Irina Boldea am Freitag, 24. März 2006

zurück . . . .