Du brauchst Hilfe? Frage die Community oder wende dich an einen Experten.
Zu Avira Answers
Name:TR/Agent.awj
Entdeckt am:21/08/2007
Art:Trojan
In freier Wildbahn:Ja
Gemeldete Infektionen:Niedrig bis mittel
Verbreitungspotenzial:Niedrig
Schadenspotenzial:Niedrig bis mittel
Statische Datei:Ja
Dateigre:54.347 Bytes
MD5 Prfsumme:3daef51276503ef2a407f3ee06027d6d
VDF Version:6.39.01.26
IVDF Version:6.39.01.27 - Dienstag, 21. August 2007

 Allgemein Aliases:
   •  Bitdefender: Worm.Generic.267868
   •  Panda: Trj/Agent.OCD
   •  Eset: Win32/Spatet.I


Betriebsysteme:
   • Windows 2000
   • Windows XP
   • Windows 2003


Auswirkungen:
   • Erstellt schdliche Dateien
   • nderung an der Registry

 Dateien Eine Kopie seiner selbst wird hier erzeugt:
   • %SYSDIR%\winhpack.exe



Die anfnglich ausgefhrte Kopie der Malware wird gelscht.

 Registry Folgender Registryschlssel wird hinzugefgt:

[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\
   Image File Execution Options\userinit.exe]
   • "Debugger"="winhpack.exe"



Folgende Registryschlssel werden gendert:

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows NT\CurrentVersion\
   Winlogon]
   Neuer Wert:
   • "ParseAutoexec"="1"

[HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\
   Zones\3]
   Neuer Wert:
   • "1609"=dword:0x00000000

 Injektion Es injiziert sich als einen Remote Thread in einen Prozess.

    Prozessname:
   • csrss.exe



Es injiziert sich als einen Remote Thread in einen Prozess.

    Alle der folgenden Prozesse:
   • svchost.exe
   • winlogon.exe
   • explorer.exe


 Diverses  Kontaktiert folgende Webseite um auf eine vorhandene Internetverbindung zu berprfen:
   • http://google.com
Greift auf Internetressourcen zu:
   • http://tawutodo.cc/reg/**********
   • http://feluhuva.net/reg/**********


Mutex:
Es wird folgender Mutex erzeugt:
   • 6A57BEED

 Datei Einzelheiten Laufzeitpacker:
Um eine Erkennung zu erschweren und die Gre der Datei zu reduzieren wurde sie mit einem Laufzeitpacker gepackt.

Die Beschreibung wurde erstellt von Petre Galan am Montag, 14. Februar 2011
Die Beschreibung wurde geändert von Petre Galan am Montag, 14. Februar 2011

zurück . . . .