Du brauchst Hilfe? Frage die Community oder wende dich an einen Experten.
Zu Avira Answers
Name:TR/Agent.77824
Entdeckt am:31/10/2006
Art:Trojan
In freier Wildbahn:Ja
Gemeldete Infektionen:Niedrig bis mittel
Verbreitungspotenzial:Niedrig bis mittel
Schadenspotenzial:Mittel
Statische Datei:Ja
Dateigröße:77.824 Bytes
MD5 Prüfsumme:3e6dc704fc07eecd9628c1bb3969ac56
VDF Version:6.36.00.198
IVDF Version:6.36.00.217 - Dienstag, 31. Oktober 2006

 Allgemein Verbreitungsmethode:
   • Autorun Dateien


Aliases:
   •  Kaspersky: Trojan.Win32.VBKrypt.cwnm
   •  Bitdefender: Trojan.Generic.6201582
   •  GData: Trojan.Generic.6201582
   •  DrWeb: Trojan.Siggen2.29349


Betriebsysteme:
   • Windows 2000
   • Windows XP
   • Windows 2003


Auswirkungen:
   • Ermöglicht unbefugten Zugriff auf den Computer
   • Erstellt schädliche Dateien
   • Setzt Sicherheitseinstellungen herunter
   • Änderung an der Registry

 Dateien Kopien seiner selbst werden hier erzeugt:
   • %Laufwerk%\microsoft.exe
   • %HOME%\Application Data\scheb.exe



Eine Datei wird überschreiben.
%SYSDIR%\drivers\etc\hosts



Folgende Datei wird gelöscht:
   • %TEMPDIR%\fla7DXG8N.tmp



Es werden folgende Dateien erstellt:

%Laufwerk%\autorun.inf Diese Datei ist eine nicht virulente Textdatei mit folgendem Inhalt:
   • %Programmcode, der Malware startet%

%TEMPDIR%\fla7DXG8N.tmp



Es wird versucht folgende Datei auszuführen:

– Dateiname:
   • %HOME%\Application Data\scheb.exe

 Registry Die folgenden Registryschlüssel werden hinzugefügt um die Prozesse nach einem Neustart des Systems erneut zu starten.

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "Windows Update System"="%HOME%\Application Data\scheb.exe"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "Windows Update System"="%HOME%\Application Data\scheb.exe"



Um die Windows XP Firewall zu umgehen wird folgender Eintrag erstellt:

– [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\
   FirewallPolicy\StandardProfile\AuthorizedApplications\List]
   • "Windows Update System"="%HOME%\Application Data\scheb.exe"

 IRC Um Systeminformationen zu übermitteln und Fernsteuerung sicherzustellen wird eine Verbindung mit folgendem IRC Server hergestellt:

Server: minerva.cdm**********.org
Port: 6667
Channel: #spam#
Nickname: NEW[XX][XP]%Nummer%

 Hosts Die hosts Datei wird wie folgt geändert:

– In diesem Fall werden die bestehenden Einträge gelöscht.

– Zugriffe auf folgende Domains wird erfolgreich unterbunden:
   • 127.0.0.1 www.virustotal.com
   • 127.0.0.1 www.pandasoftware.com
   • 127.0.0.1 www.norton.com
   • 127.0.0.1 www.nod32.com
   • 127.0.0.1 www.microsoft.com
   • 127.0.0.1 www.macafee.com
   • 127.0.0.1 www.kaspersky-labs.com
   • 127.0.0.1 www.hotmail.com
   • 127.0.0.1 www.download.mcafee.com
   • 127.0.0.1 pandasoftware.com
   • 127.0.0.1 norton.com
   • 127.0.0.1 nod32.com
   • 127.0.0.1 microsoft.com
   • 127.0.0.1 macafee.com
   • 127.0.0.1 bitdefender.com
   • 127.0.0.1 www.virusscan.jotti.org
   • 127.0.0.1 www.viruslist.com
   • 127.0.0.1 www.virscan.org
   • 127.0.0.1 www.trendmicro.com
   • 127.0.0.1 www.symantec.com
   • 127.0.0.1 www.sophos.com
   • 127.0.0.1 www.networkassociates.com
   • 127.0.0.1 www.nai.com
   • 127.0.0.1 www.my-etrust.com
   • 127.0.0.1 www.mcafee.com
   • 127.0.0.1 www.kaspersky.com
   • 127.0.0.1 www.grisoft.com
   • 127.0.0.1 www.f-secure.com
   • 127.0.0.1 www.ca.com
   • 127.0.0.1 www.avp.com
   • 127.0.0.1 virustotal.com
   • 127.0.0.1 virusscan.jotti.org
   • 127.0.0.1 viruslist.com
   • 127.0.0.1 virscan.org
   • 127.0.0.1 us.mcafee.com
   • 127.0.0.1 updates.symantec.com
   • 127.0.0.1 update.symantec.com
   • 127.0.0.1 trendmicro.com
   • 127.0.0.1 threatexpert.com
   • 127.0.0.1 symantec.com
   • 127.0.0.1 sophos.com
   • 127.0.0.1 securityresponse.symantec.com
   • 127.0.0.1 secure.nai.com
   • 127.0.0.1 scanner.novirusthanks.org
   • 127.0.0.1 rads.mcafee.com
   • 127.0.0.1 networkassociates.com
   • 127.0.0.1 nai.com
   • 127.0.0.1 my-etrust.com
   • 127.0.0.1 mcafee.com
   • 127.0.0.1 mast.mcafee.com
   • 127.0.0.1 liveupdate.symantecliveupdate.com
   • 127.0.0.1 liveupdate.symantec.com
   • 127.0.0.1 kaspersky.com
   • 127.0.0.1 kaspersky-labs.com
   • 127.0.0.1 f-secure.com
   • 127.0.0.1 download.mcafee.com
   • 127.0.0.1 dispatch.mcafee.com
   • 127.0.0.1 customer.symantec.com
   • 127.0.0.1 ca.com
   • 127.0.0.1 avp.com


 Diverses Mutex:
Es wird folgender Mutex erzeugt:
   • TTKRJPJD6S8GJHGT68DDJSOMSDL

 Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in MS Visual C++ geschrieben.


Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit einem Laufzeitpacker gepackt.

Die Beschreibung wurde erstellt von Petre Galan am Montag, 18. Juli 2011
Die Beschreibung wurde geändert von Petre Galan am Montag, 18. Juli 2011

zurück . . . .