Du brauchst Hilfe? Frage die Community oder wende dich an einen Experten.
Zu Avira Answers
Name:TR/Spy.148529
Entdeckt am:18/04/2010
Art:Trojan
In freier Wildbahn:Ja
Gemeldete Infektionen:Niedrig bis mittel
Verbreitungspotenzial:Niedrig
Schadenspotenzial:Niedrig bis mittel
Statische Datei:Ja
Dateigre:148.529 Bytes
MD5 Prfsumme:559f2d704f414c2848269f16f00f8cfa
IVDF Version:7.10.06.116 - Sonntag, 18. April 2010

 General Aliases:
   •  Sophos: Mal/EncPk-OD
   •  Bitdefender: Trojan.PWS.OnlineGames.KDKZ
   •  Panda: Trj/Gamania.MT
   •  Eset: Win32/PSW.Lineage.NIJ


Betriebsysteme:
   • Windows 2000
   • Windows XP
   • Windows 2003


Auswirkungen:
   • Erstellt schdliche Dateien
   • nderung an der Registry

 Dateien Eine Kopie seiner selbst wird hier erzeugt:
   • %SYSDIR%\xmloder.exe



Die anfnglich ausgefhrte Kopie der Malware wird gelscht.



Folgende Datei wird gelscht:
   • %TEMPDIR%\bkhtgsf.reg



Es werden folgende Dateien erstellt:

%TEMPDIR%\bkhtgsf.reg Diese Datei ist eine nicht virulente Textdatei mit folgendem Inhalt:
   • %Programmcode, der Malware startet%

%TEMPDIR%\gfgll.bat
%WINDIR%\Debug\xmlDown.dll Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: TR/Meredrop.A.11155




Es versucht folgende Dateien auszufhren:

Dateiname:
   • cmd /c %TEMPDIR%\gfgll.bat


Dateiname:
   • regedit /s %TEMPDIR%\bkhtgsf.reg


Dateiname:
   • cmd /c erase /F %ausgefhrte Datei%

 Registry Folgende Registryschlssel werden hinzugefgt:

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
   ShellExecuteHooks]
   • "{42C50607-D944-41A9-9B67-720AFBE8C22C}"=""

[HKLM\SOFTWARE\Classes\CLSID\{42C50607-D944-41A9-9B67-720AFBE8C22C}\
   InProcServer32]
   • "@"="%WINDIR%\Debug\xmlDown.dll"
   • "ThreadingModel"="Apartment"

[HKLM\SOFTWARE\Classes\CLSID\
   {42C50607-D944-41A9-9B67-720AFBE8C22C}]
   • "@"="url"

 Injektion –  Es injiziert folgende Datei in einen Prozess: %WINDIR%\Debug\xmlDown.dll

    Prozessname:
   • explorer.exe


 Diverses String:
Des Weiteren enthlt es folgende Zeichenketten:
   • https://tw.gash.gamania.com/UpdateServiceAccountPassword.aspx?ServiceCode=600035
   • http://tw.gashcard.gamania.com/space.htm
   • https://tw.gash.gamania.com/UpdateMainAccountPassword.aspx
   • https://tw.beanfun.gamania.com/unlock_login/step2.aspx?d=
   • http://tw.mabinogi.gamania.com/Net2.0/Home/Default.aspx
   • http://tw.maplestory.gamania.com/Default.aspx
   • http://tw.gashcard.gamania.com/space.htm
   • https://tw.gash.gamania.com/GASHLogin.aspx
   • http://tw.gamania.com/GHOME/Home_Center.ASP

 Datei Einzelheiten Laufzeitpacker:
Um eine Erkennung zu erschweren und die Gre der Datei zu reduzieren wurde sie mit einem Laufzeitpacker gepackt.

Die Beschreibung wurde erstellt von Petre Galan am Donnerstag, 26. August 2010
Die Beschreibung wurde geändert von Petre Galan am Donnerstag, 26. August 2010

zurück . . . .