Name:TR/Spy.148529
Entdeckt am:18/04/2010
Art:Trojan
In freier Wildbahn:Ja
Gemeldete Infektionen:Niedrig bis mittel
Verbreitungspotenzial:Niedrig
Schadenspotenzial:Niedrig bis mittel
Statische Datei:Ja
Dateigröße:148.529 Bytes
MD5 Prüfsumme:559f2d704f414c2848269f16f00f8cfa
IVDF Version:7.10.06.116 - Sonntag, 18. April 2010

 General Aliases:
   •  Sophos: Mal/EncPk-OD
   •  Bitdefender: Trojan.PWS.OnlineGames.KDKZ
   •  Panda: Trj/Gamania.MT
   •  Eset: Win32/PSW.Lineage.NIJ


Betriebsysteme:
   • Windows 2000
   • Windows XP
   • Windows 2003


Auswirkungen:
   • Erstellt schädliche Dateien
   • Änderung an der Registry

 Dateien Eine Kopie seiner selbst wird hier erzeugt:
   • %SYSDIR%\xmloder.exe



Die anfänglich ausgeführte Kopie der Malware wird gelöscht.



Folgende Datei wird gelöscht:
   • %TEMPDIR%\bkhtgsf.reg



Es werden folgende Dateien erstellt:

– %TEMPDIR%\bkhtgsf.reg Diese Datei ist eine nicht virulente Textdatei mit folgendem Inhalt:
   • %Programmcode, der Malware startet%

– %TEMPDIR%\gfgll.bat
– %WINDIR%\Debug\xmlDown.dll Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: TR/Meredrop.A.11155




Es versucht folgende Dateien auszuführen:

– Dateiname:
   • cmd /c %TEMPDIR%\gfgll.bat


– Dateiname:
   • regedit /s %TEMPDIR%\bkhtgsf.reg


– Dateiname:
   • cmd /c erase /F %ausgeführte Datei%

 Registry Folgende Registryschlüssel werden hinzugefügt:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
   ShellExecuteHooks]
   • "{42C50607-D944-41A9-9B67-720AFBE8C22C}"=""

– [HKLM\SOFTWARE\Classes\CLSID\{42C50607-D944-41A9-9B67-720AFBE8C22C}\
   InProcServer32]
   • "@"="%WINDIR%\Debug\xmlDown.dll"
   • "ThreadingModel"="Apartment"

– [HKLM\SOFTWARE\Classes\CLSID\
   {42C50607-D944-41A9-9B67-720AFBE8C22C}]
   • "@"="url"

 Injektion –  Es injiziert folgende Datei in einen Prozess: %WINDIR%\Debug\xmlDown.dll

    Prozessname:
   • explorer.exe


 Diverses String:
Des Weiteren enthält es folgende Zeichenketten:
   • https://tw.gash.gamania.com/UpdateServiceAccountPassword.aspx?ServiceCode=600035
   • http://tw.gashcard.gamania.com/space.htm
   • https://tw.gash.gamania.com/UpdateMainAccountPassword.aspx
   • https://tw.beanfun.gamania.com/unlock_login/step2.aspx?d=
   • http://tw.mabinogi.gamania.com/Net2.0/Home/Default.aspx
   • http://tw.maplestory.gamania.com/Default.aspx
   • http://tw.gashcard.gamania.com/space.htm
   • https://tw.gash.gamania.com/GASHLogin.aspx
   • http://tw.gamania.com/GHOME/Home_Center.ASP

 Datei Einzelheiten Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit einem Laufzeitpacker gepackt.

Die Beschreibung wurde erstellt von Petre Galan am Donnerstag, 26. August 2010
Die Beschreibung wurde geändert von Petre Galan am Donnerstag, 26. August 2010

zurück . . . .