TR/Puper.BA.1 - Trojan

Siehe auch

Kurzfassung

Vollständig

Statistik

Name:	TR/Puper.BA.1
Entdeckt am:	18/10/2005
Art:	Trojan
In freier Wildbahn:	Nein
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig
Schadenspotenzial:	Niedrig bis mittel
Statische Datei:	Ja
Dateigröße:	53.248 Bytes
MD5 Prüfsumme:	587FACDDFB8D864E0FC85ACF4A87FB11
VDF Version:	6.32.00.13 - Fri, 16 Sep 2005 11:53 (GMT+1)

General Verbreitungsmethode:
   • Keine eigene Verbreitungsroutine

Aliases:
   • Mcafee: Puper.dll
   • Kaspersky: Trojan.Win32.StartPage.acy
   • Bitdefender: Trojan.Startpage.ACY

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Änderung an der Registry

Registry Es wird ein browser helper object (BHO) registriert indem folgender key hinzugefügt wird:

Die registrierte DLL Datei ändert die Startseite des Internet Explorers in: http://www.security2k.net
– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
   Browser Helper Objects\{FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFA}]
   • @="HP"

Folgende Registryschlüssel werden hinzugefügt:

– [HKCR\HP.1]
   • @="HP Class"

– [HKCR\HP.1\CLSID]
   • @="{7297220c-b8c3-438e-9a72-c005d64490b6}"

– [HKCR\HP]
   • @="HP Class"

– [HKCR\HP\CLSID]
   • @="{FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFA}"

– [HKCR\HP\CurVer]
   • @="HP.1"

– [HKCR\CLSID\{FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFA}]
   • @="HP Class"

– [HKCR\CLSID\{FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFA}\InprocServer32]
   • @="%Malware DLL%"
   • "ThreadingModel"="Apartment"

– [HKCR\CLSID\{FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFA}\ProgID]
   • @="HP.1"

– [HKCR\CLSID\{FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFA}\Programmable]
– [HKCR\CLSID\{FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFA}\TypeLib]
   • @="{7297220c-b8c3-438e-9a72-c005d64490b6}"

– [HKCR\CLSID\{FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFA}\
   VersionIndependentProgID]
   • @="HP"

– [HKCR\TypeLib\{1E1B286C-88FF-11D2-8D96-D7ACAC95951F}\1.0]
   • @="VM HomePage Type Library"

– [HKCR\TypeLib\{1E1B286C-88FF-11D2-8D96-D7ACAC95951F}\1.0\0]
   • @="%Malware DLL%"

– [HKCR\TypeLib\{1E1B286C-88FF-11D2-8D96-D7ACAC95951F}\1.0\0\win32]
– [HKCR\TypeLib\{1E1B286C-88FF-11D2-8D96-D7ACAC95951F}\1.0\FLAGS]
   • @="0"

– [HKCR\TypeLib\{1E1B286C-88FF-11D2-8D96-D7ACAC95951F}\1.0\HELPDIR]
   • @="%path to malware%"

– [HKCR\Interface\{1E1B2878-88FF-11D2-8D96-D7ACAC95951F}]
   • @="IHomePage"

– [HKCR\Interface\{1E1B2878-88FF-11D2-8D96-D7ACAC95951F}\
   ProxyStubClsid]
   • @="{00020424-0000-0000-C000-000000000046}"

– [HKCR\Interface\{1E1B2878-88FF-11D2-8D96-D7ACAC95951F}\
   ProxyStubClsid32]
   • @="{00020424-0000-0000-C000-000000000046}"

– [HKCR\Interface\{1E1B2878-88FF-11D2-8D96-D7ACAC95951F}\TypeLib]
   • @="{1E1B286C-88FF-11D2-8D96-D7ACAC95951F}"
   • "Version"="1.0"

Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in MS Visual C++ geschrieben.

Kurzfassung hier.

Beschreibung erstellt von Andrei Gherman am Tue, 18 Oct 2005 17:55 (GMT+1)
Beschreibung geändert von Andrei Gherman am Thu, 20 Oct 2005 15:39 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück