Du brauchst Hilfe? Frage die Community oder wende dich an einen Experten.
Zu Avira Answers
Name:TR/Kazy.30888.1
Entdeckt am:15/07/2011
Art:Trojan
In freier Wildbahn:Ja
Gemeldete Infektionen:Niedrig
Verbreitungspotenzial:Niedrig
Schadenspotenzial:Mittel
Statische Datei:Ja
Dateigre:187.392 Bytes
MD5 Prfsumme:50558989A6D43317AE90383D72E7395F
VDF Version:7.11.11.160 - Freitag, 15. Juli 2011
IVDF Version:7.11.11.160 - Freitag, 15. Juli 2011

 Allgemein Verbreitungsmethode:
   • Keine eigene Verbreitungsroutine


Aliases:
   •  TrendMicro: BKDR_CYCBOT.SME3
   •  Sophos: Troj/FakeAV-EFL
     Microsoft: Backdoor:Win32/Cycbot.B


Betriebsysteme:
   • Windows 2000
   • Windows XP
   • Windows 2003
    Windows Vista
    Windows 7


Auswirkungen:
   • Ermglicht unbefugten Zugriff auf den Computer
   • Erstellt Dateien
   • Setzt Sicherheitseinstellungen herunter
   • nderung an der Registry
   • Stiehlt Informationen

 Dateien Eine Kopie seiner selbst wird hier erzeugt:
   • %TEMPDIR%\csrss.exe



Die folgende Datei wird gendert:
   • %APPDATA%\Mozilla\Firefox\Profiles\%zufllige Buchstabenkombination%.default\prefs.js
Als Folge werden verschiedene Sicherheitsmechanismen deaktiviert.



Es wird folgende Datei erstellt:

%APPDATA%\%Hex Werte%.%Hex Werte% Enthlt von der Malware genutzte Parameter.

 Registry Einer der folgenden Werte wird dem Registry key hinzugefgt um den Prozess nach einem Neustart des Systems erneut zu starten.

  [HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows]
   • "Load"="%TEMPDIR%\csrss.exe"



Folgender Registryschlssel wird hinzugefgt:

[HKEY_CURRENT_CONFIG\Software\Microsoft\windows\CurrentVersion\
   Internet Settings]
   • "ProxyEnable"=dword:00000001



Folgender Registryschlssel wird gendert:

[HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings]
   Neuer Wert:
   • "MigrateProxy"=dword:00000001
   • "ProxyEnable"=dword:00000001
   • "ProxyServer"="http=127.0.0.1:%Nummer%"

 Prozess Beendigung Prozesse mit einer der folgenden Zeichenketten werden beendet:
   • Alwil Software*; avast; Avast*; AvastUI.exe; AVG; avgnt.exe; avira;
      Avira*; BitDefender; ccsvchst.exe; Dr.Web; ESET NOD32; Kaspersky;
      mcafee; McAfee*; mcagent.exe; none; norton; Norton*; Symantec*


 Hintertr Die folgenden Ports werden geffnet:

%ausgefhrte Datei% an einem zuflligen TCP port um einen Proxy Server zur Verfgung zu stellen.
%ausgefhrte Datei% an einem zuflligen TCP port um Backdoor Funktion zur Verfgung zu stellen.

 Diebstahl  Der Netzwerkverkehr wird abgehrt und auf folgende Zeichenkette geprft:
   • google

 Diverses Mutex:
Es wird folgender Mutex erzeugt:
   • UrlZonesSM_%aktueller Benutzernamen%

 Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in MS Visual C++ geschrieben.

Die Beschreibung wurde erstellt von Andrei Ilie am Mittwoch, 26. Oktober 2011
Die Beschreibung wurde geändert von Andrei Ilie am Montag, 31. Oktober 2011

zurück . . . .