Name:TR/Fakealert.MA.591
Entdeckt am:21/07/2010
Art:Trojan
In freier Wildbahn:Ja
Gemeldete Infektionen:Niedrig
Verbreitungspotenzial:Niedrig bis mittel
Schadenspotenzial:Niedrig bis mittel
Statische Datei:Ja
Dateigröße:172.032 Bytes
MD5 Prüfsumme:9da73b97fb0532f93b4962100903a9c7
IVDF Version:7.10.09.190 - Freitag, 23. Juli 2010

 General Verbreitungsmethode:
   • Keine eigene Verbreitungsroutine


Aliases:
   •  Symantec: Downloader-CEW.b
   •  Kaspersky: Packed.Win32.Katusha.n
   •  TrendMicro: TROJ_FAKEAV.SMA2
   •  F-Secure: Trojan-Downloader:W32/Renos.GRS
   •  Sophos: Mal/FakeAV-BW
   •  Avast: Win32:MalOb-BR
   •  Microsoft: TrojanDownloader:Win32/Renos.KF
   •  PCTools: Trojan.FakeAV
   •  VirusBuster: Trojan.Kryptik.AHJS
   •  Sunbelt: VirTool.Win32.Obfuscator.hg!b
   •  AhnLab: Win-Trojan/Katusha.172032.CX
   •  DrWeb: Trojan.Packed.189
   •  Fortinet: W32/Katusha.BW!tr


Betriebsysteme:
   • Windows 98
   • Windows 2000
   • Windows XP
   • Windows 2003
   • Windows Vista
   • Windows Server 2008
   • Windows 7


Auswirkungen:
   • Erstellt eine Datei
   • Änderung an der Registry

 Dateien Es wird folgende Datei erstellt:

– %WINDIR%\taks\%CLSID%.job Des weiteren wird sie ausgeführt nachdem sie vollständig erstellt wurde. Die Datei ist ein geplanter Task welche die Malware zu einem vordefinierten Zeitpunkt ausführt.

 Registry Einer der folgenden Werte wird dem Registry key hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

–  [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • %zufällige Buchstabenkombination%"="c:\%aktuelles Verzeichnis%\%ausgeführte Datei%



Folgende Registryschlüssel werden hinzugefügt:

– [HKCU\Software\%zufällige Buchstabenkombination%]
   • "%zufällige Buchstabenkombination%"="%zufällige Buchstabenkombination%"
   • "%zufällige Buchstabenkombination%"="%zufällige Buchstabenkombination%"
   • "%zufällige Buchstabenkombination%"=dword:%Hex Werte%
   • "%zufällige Buchstabenkombination%"=dword:%Hex Werte%
   • "%zufällige Buchstabenkombination%"=dword:%Hex Werte%
   • "%zufällige Buchstabenkombination%"="%zufällige Buchstabenkombination%"
   • "%zufällige Buchstabenkombination%"="%zufällige Buchstabenkombination%"
   • "%zufällige Buchstabenkombination%"=dword:%Hex Werte%
   • "%zufällige Buchstabenkombination%"=dword:%Hex Werte%
   • "%zufällige Buchstabenkombination%"=dword:%Hex Werte%

– [HKCU\Software\XML]

Die Beschreibung wurde erstellt von Christoph Baumann am Donnerstag, 2. September 2010
Die Beschreibung wurde geändert von Christoph Baumann am Donnerstag, 2. September 2010

zurück . . . .