Name:TR/PWS.94208.2
Entdeckt am:07/09/2009
Art:Trojan
In freier Wildbahn:Ja
Gemeldete Infektionen:Niedrig
Verbreitungspotenzial:Niedrig
Schadenspotenzial:Niedrig bis mittel
Statische Datei:Ja
Dateigröße:94.208 Bytes
MD5 Prüfsumme:bab4884c5d0240b3882d725297043609
IVDF Version:7.01.05.212 - Montag, 7. September 2009

 General Verbreitungsmethode:
• Autorun Dateien


Aliases:
   •  Mcafee: W32/Autorun.worm.h virus
   •  Panda: W32/Autorun.JEY
   •  Eset: Win32/AutoRun.VB.FX
   •  Bitdefender: Worm.Generic.83904


Betriebsysteme:
   • Windows 2000
   • Windows XP
   • Windows 2003


Auswirkungen:
   • Erstellt schädliche Dateien
   • Änderung an der Registry

 Dateien Kopien seiner selbst werden hier erzeugt:
   • %Laufwerk%\Read1st!.exe
   • %Laufwerk%\%alle Verzeichnisse%.exe



Es werden folgende Dateien erstellt:

– %Laufwerk%\autorun.inf Diese Datei ist eine nicht virulente Textdatei mit folgendem Inhalt:
   • %Programmcode, der Malware startet%

– %WINDIR%\shutdown.dll

 Registry  Alle Werte der folgenden Registryschlüssel und alle Subkeys werden gelöscht:
   • [HKLM\SYSTEM\CurrentControlSet\Services\COMSysApp]
   • [HKLM\SYSTEM\CurrentControlSet\Services\SwPrv]
   • [HKLM\SYSTEM\CurrentControlSet\Services\TPAutoConnSvc]



Folgender Registryschlüssel wird geändert:

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore]
   Neuer Wert:
   • "DisableSR"=dword:0x00000000
   • "RestoreDiskSpaceError"=dword:0x00000000

 Datei Einzelheiten Programmiersprache:
 Das Malware-Programm wurde in Visual Basic geschrieben.


Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit einem Laufzeitpacker gepackt.

Die Beschreibung wurde erstellt von Petre Galan am Montag, 14. Dezember 2009
Die Beschreibung wurde geändert von Petre Galan am Montag, 14. Dezember 2009

zurück . . . .