ADSPY/PremiumSear.2 - Adware / Spyware

Siehe auch

Kurzfassung

Vollständig

Statistik

Name:	ADSPY/PremiumSear.2
Entdeckt am:	03/10/2005
Art:	Trojan
In freier Wildbahn:	Nein
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig
Schadenspotenzial:	Niedrig bis mittel
Statische Datei:	Ja
Dateigröße:	30.208 Bytes
MD5 Prüfsumme:	F21056EA283B0AD0424449D770D2CE97
VDF Version:	6.32.00.81 - Thu, 13 Oct 2005 16:43 (GMT+1)

General Verbreitungsmethode:
   • Keine eigene Verbreitungsroutine

Alias:
   • Mcafee: Adware-CWS.

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Lädt eine Dateien herunter
   • Erstellt Dateien
   • Erstellt eine potentiell gefährliche Datei
   • Änderung an der Registry

Dateien Eine Kopie seiner selbst wird hier erzeugt:
   • %SYSDIR%\secserv.exe

Es werden folgende Dateien erstellt:

– Nicht virulente Dateien:
   • %home%\Favorites\freedating.ico
   • %home%\Favorites\ Free Real-time Dating Service.url
   • %TEMPDIR%\%zufällige Buchstabenkombination%.gif
   • %TEMPDIR%\%zufällige Buchstabenkombination%.gif
   • %TEMPDIR%\%zufällige Buchstabenkombination%.gif
   • %TEMPDIR%\%zufällige Buchstabenkombination%.jpg
   • %TEMPDIR%\%zufällige Buchstabenkombination%.html

– %TEMPDIR%\%zufällige Buchstabenkombination%.dll Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: ADSPY/PremiumSear.1

Es wird versucht folgende Datei herunterzuladen:

– Die URL ist folgende:
   • http://premium-search.net/**********/ligbar.so
Diese wird lokal gespeichert unter: %PROGRAM FILES%\google\GoogleToolbar1.dll

Registry Der folgendeRegistryschlüssel wird in einer Endlosschleife fortlaufen hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "secserv.exe"="%SYSDIR%\secserv.exe"

Die Werte der folgenden Registry keys werden gelöscht:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • Initial Page
   • ifconfig.exe
   • bootpd.exe
   • Security iGuard

– [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • ifconfig.exe
   • bootpd.exe
   • Security iGuard

Folgender Registryschlüssel wird hinzugefügt:

– [HKCR\CLSID\{5483427F-93B8-1470-5A89-E6B56484CDB2}\InProcServer32]
   • @="%TEMPDIR%\%zufällige Buchstabenkombination%.dll"
   • "ThreadingModel"="Both"

Hosts Die hosts Datei wird wie folgt geändert:

– In diesem Fall bleiben bestehende Einträge erhalten.

– Zugriffe auf folgende Domains werden auf andere Ziele umgeleitet:
   • www.google.ae; www.google.am; www.google.as; www.google.at;
      www.google.az; www.google.be; www.google.bi; www.google.ca;
      www.google.cd; www.google.cg; www.google.ch; www.google.ci;
      www.google.cl; www.google.co.cr; www.google.co.hu; www.google.co.il;
      www.google.co.in; www.google.co.je; www.google.co.jp;
      www.google.co.ke; www.google.co.kr; www.google.co.ls;
      www.google.co.nz; www.google.co.th; www.google.co.ug;
      www.google.co.uk; www.google.co.ve; www.google.com; www.google.com.ag;
      www.google.com.ar; www.google.com.au; www.google.com.br;
      www.google.com.co; www.google.com.cu; www.google.com.do;
      www.google.com.ec; www.google.com.fj; www.google.com.gi;
      www.google.com.gr; www.google.com.gt; www.google.com.hk;
      www.google.com.ly; www.google.com.mt; www.google.com.mx;
      www.google.com.my; www.google.com.na; www.google.com.nf;
      www.google.com.ni; www.google.com.np; www.google.com.pa;
      www.google.com.pe; www.google.com.ph; www.google.com.pk;
      www.google.com.pr; www.google.com.py; www.google.com.sa;
      www.google.com.sg; www.google.com.sv; www.google.com.tr;
      www.google.com.tw; www.google.com.ua; www.google.com.uy;
      www.google.com.vc; www.google.com.vn; www.google.de; www.google.dj;
      www.google.dk; www.google.es; www.google.fi; www.google.fm;
      www.google.fr; www.google.gg; www.google.gl; www.google.gm;
      www.google.hn; www.google.ie; www.google.it; www.google.kz;
      www.google.li; www.google.lt; www.google.lu; www.google.lv;
      www.google.mn; www.google.ms; www.google.mu; www.google.mw;
      www.google.nl; www.google.no; www.google.off.ai; www.google.pl;
      www.google.pn; www.google.pt; www.google.ro; www.google.ru;
      www.google.rw; www.google.se; www.google.sh; www.google.sk;
      www.google.sm; www.google.td; www.google.tm; www.google.tt;
      www.google.uz; www.google.vg; google.ae; google.am; google.as;
      google.at; google.az; google.be; google.bi; google.ca; google.cd;
      google.cg; google.ch; google.ci; google.cl; google.co.cr;
      google.co.hu; google.co.il; google.co.in; google.co.je; google.co.jp;
      google.co.ke; google.co.kr; google.co.ls; google.co.nz; google.co.th;
      google.co.ug; google.co.uk; google.co.ve; google.com; google.com.ag;
      google.com.ar; google.com.au; google.com.br; google.com.co;
      google.com.cu; google.com.do; google.com.ec; google.com.fj;
      google.com.gi; google.com.gr; google.com.gt; google.com.hk;
      google.com.ly; google.com.mt; google.com.mx; google.com.my;
      google.com.na; google.com.nf; google.com.ni; google.com.np;
      google.com.pa; google.com.pe; google.com.ph; google.com.pk;
      google.com.pr; google.com.py; google.com.sa; google.com.sg;
      google.com.sv; google.com.tr; google.com.tw; google.com.ua;
      google.com.uy; google.com.vc; google.com.vn; google.de; google.dj;
      google.dk; google.es; google.fi; google.fm; google.fr; google.gg;
      google.gl; google.gm; google.hn; google.ie; google.it; google.kz;
      google.li; google.lt; google.lu; google.lv; google.mn; google.ms;
      google.mu; google.mw; google.nl; google.no; google.off.ai; google.pl;
      google.pn; google.pt; google.ro; google.ru; google.rw; google.se;
      google.sh; google.sk; google.sm; google.td; google.tm; google.tt;
      google.uz; google.vg; search.yahoo.com; ar.search.yahoo.com;
      br.search.yahoo.com; ca.search.yahoo.com; cf.search.yahoo.com;
      mx.search.yahoo.com; espanol.search.yahoo.com; au.search.yahoo.com;
      ct.search.yahoo.com; fr.search.yahoo.com; de.search.yahoo.com;
      it.search.yahoo.com; uk.search.yahoo.com; search.msn.com search.msn.at
      search.sympatico.msn.ca search.msn.co.za search.ninemsn.com.au;
      search.xtramsn.co.nz search.msn.co.uk search.msn.be search.msn.dk
      search.msn.fi search.msn.fr; search.msn.de search.msn.it search.msn.nl
      search.msn.no search.msn.es uk.search.msn.com; search.msn.se
      search.msn.ch search.msn.co.in search.msn.com.sg
      toolbar.search.msn.com; beta.search.msn.com beta.search.msn.at
      beta.search.sympatico.msn.ca beta.search.msn.co.za;
      beta.search.ninemsn.com.au beta.search.xtramsn.co.nz
      beta.search.msn.co.uk beta.search.msn.be; beta.search.msn.dk
      beta.search.msn.fi beta.search.msn.fr beta.search.msn.de
      beta.search.msn.it; beta.search.msn.nl beta.search.msn.no
      beta.search.msn.es beta.search.msn.se beta.search.msn.ch;
      beta.search.msn.co.in beta.search.msn.com.sg auto.search.msn.com;
      www.alexa.com alexa.com

Die modifizierte Host Datei sieht wie folgt aus:

Diverses Mutex:
Es wird folgender Mutex erzeugt:
• ez-httpgrepdv1F

Datei Einzelheiten Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit folgendem Laufzeitpacker gepackt:
• UPX

Kurzfassung hier.

Beschreibung erstellt von Andrei Gherman am Mon, 03 Oct 2005 16:12 (GMT+1)
Beschreibung geändert von Andrei Gherman am Fri, 14 Oct 2005 15:23 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück