TR/Proxy.Small.bt.3 - Trojan

Siehe auch

Kurzfassung

Vollständig

Statistik

Name:	TR/Proxy.Small.bt.3
Entdeckt am:	20/09/2005
Art:	Trojan
In freier Wildbahn:	Nein
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig
Schadenspotenzial:	Mittel
Statische Datei:	Ja
Dateigröße:	36.352 Bytes
MD5 Prüfsumme:	ec469506177f115016bff393a1d920f1
VDF Version:	6.31.0.112

General Verbreitungsmethode:
   • Keine eigene Verbreitungsroutine

Aliases:
   • Symantec: Trojan-Proxy.Win32.Small.bt
   • TrendMicro: TROJ_SMALL.AKQ
   • Sophos: Troj/Stox-A
   • Eset: Win32/TrojanProxy.Small.BT
   • Bitdefender: Trojan.Proxy.Win32.Small.BT

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows 2000
   • Windows XP

Auswirkungen:
   • Änderung an der Registry
   • Stiehlt Informationen

Dateien Es wird folgende Datei erstellt:

– %WINDIR%\inetdata\tmp.req

Registry Der folgende Registryschlüssel wird hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • "Microsoft standard protector"="%Verzeichnis in dem die Malware ausgeführt wurde%\%ausgeführte Datei%"

Um die Windows XP Firewall zu umgehen werden folgende Einträge erstellt:

– HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\
   FirewallPolicy\StandardProfile
   • "DoNotAllowExceptions"=dword:00000000

– HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\
   FirewallPolicy\StandardProfile\GloballyOpenPorts\List
   • "%geöffneter Port%:TCP"="%geöffneter
      Port%:TCP:*:Enabled:Microsoft standard protector"

Hintertür Der folgende Port wird geöffnet:

– %ausgeführte Datei% an einem zufälligen TCP port um einen Socks5 Proxy Server zur Verfügung zu stellen.

Kontaktiert Server:
Den folgenden:
• traff-**********.com/affiliate/socks/insert.php?

Hierdurch können Informationen gesendet werden. Dies geschieht mittels einer HTTP GET Anfrage an ein PHP Script.
Die Antwort der Servers wird in folgende Datei geschrieben: %Verzeichnis in dem die Malware ausgeführt wurde%\tmp.req

Sende Informationen über:
• Geöffneter Port

Datei Einzelheiten Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit folgenden Laufzeitpackern gepackt:
   • PE_Patch.PECompact
   • PecBundle
   • PECompact

Kurzfassung hier.

Beschreibung erstellt von Irina Boldea am Tue, 20 Sep 2005 09:31 (GMT+1)
Beschreibung geändert von Irina Boldea am Mon, 26 Sep 2005 16:28 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück