Du brauchst Hilfe? Frage die Community oder wende dich an einen Experten.
Zu Avira Answers
Name:TR/Kazy.24846.24
Entdeckt am:09/06/2011
Art:Trojan
In freier Wildbahn:Ja
Gemeldete Infektionen:Niedrig
Verbreitungspotenzial:Niedrig
Schadenspotenzial:Mittel
Statische Datei:Ja
Dateigröße:181.248 Bytes
MD5 Prüfsumme:34F129596DE430B1A902272EB62FDD01
VDF Version:7.11.09.128 - Donnerstag, 9. Juni 2011
IVDF Version:7.11.09.128 - Donnerstag, 9. Juni 2011

 Allgemein Verbreitungsmethode:
   • Keine eigene Verbreitungsroutine


Aliases:
   •  DrWeb: Trojan.DownLoader3.7697
   •  Norman: W32/Crypt.AVAU


Betriebsysteme:
   • Windows 2000
   • Windows XP
   • Windows 2003
   • Windows Vista
   • Windows 7


Auswirkungen:
   • Ermöglicht unbefugten Zugriff auf den Computer
   • Erstellt Dateien
   • Setzt Sicherheitseinstellungen herunter
   • Änderung an der Registry
   • Stiehlt Informationen

 Dateien Eine Kopie seiner selbst wird hier erzeugt:
   • %TEMPDIR%\csrss.exe



Die folgende Datei wird geändert:
   • %APPDATA%\Mozilla\Firefox\Profiles\f81lb9un.default\prefs.js
Als Folge werden verschiedene Sicherheitsmechanismen deaktiviert.



Es wird folgende Datei erstellt:

– %APPDATA%\%Hex Werte%.%Hex Werte% Enthält von der Malware genutzte Parameter.

 Registry Einer der folgenden Werte wird dem Registry key hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

–  [HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows]
   • "Load"="%TEMPDIR%\csrss.exe"



Folgender Registryschlüssel wird hinzugefügt:

– [HKEY_CURRENT_CONFIG\Software\Microsoft\windows\CurrentVersion\
   Internet Settings]
   • "ProxyEnable"=dword:00000001



Folgender Registryschlüssel wird geändert:

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings]
   Neuer Wert:
   • "MigrateProxy"=dword:00000001
   • "ProxyEnable"=dword:00000001
   • "ProxyServer"="http=127.0.0.1:%Nummer%"

 Prozess Beendigung Prozesse mit einer der folgenden Zeichenketten werden beendet:
   • Alwil Software*; avast; Avast*; AvastUI.exe; AVG; avgnt.exe; avira;
      Avira*; BitDefender; ccsvchst.exe; Dr.Web; ESET NOD32; Kaspersky;
      mcafee; McAfee*; mcagent.exe; none; norton; Norton*; Symantec*


 Hintertür Die folgenden Ports werden geöffnet:

%ausgeführte Datei% an einem zufälligen TCP port um einen Proxy Server zur Verfügung zu stellen.
%ausgeführte Datei% an einem zufälligen TCP port um Backdoor Funktion zur Verfügung zu stellen.

 Diebstahl – Der Netzwerkverkehr wird abgehört und auf folgende Zeichenkette geprüft:
   • google

 Diverses Mutex:
Es wird folgender Mutex erzeugt:
   • {5D92BB9F-9A66-458f-ACA4-66172A7016D4}

 Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in MS Visual C++ geschrieben.

Die Beschreibung wurde erstellt von Andrei Ilie am Donnerstag, 1. September 2011
Die Beschreibung wurde geändert von Andrei Ilie am Donnerstag, 1. September 2011

zurück . . . .