TR/PSW.Proxy.A.1 - Trojan

Siehe auch

Kurzfassung

Vollständig

Statistik

Name:	TR/PSW.Proxy.A.1
Entdeckt am:	19/10/2005
Art:	Trojan
In freier Wildbahn:	Nein
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig
Schadenspotenzial:	Mittel
Statische Datei:	Ja
Dateigröße:	56.320 Bytes
MD5 Prüfsumme:	5B1DBA6A3EE664D5A77A72F5CFF96E6E
VDF Version:	6.32.00.101 - Wed, 19 Oct 2005 17:07 (GMT+1)

General Verbreitungsmethode:
   • Keine eigene Verbreitungsroutine

Aliases:
   • Kaspersky: Trojan-Spy.Win32.Banker.aid
   • Bitdefender: Dropped:Trojan.Spy.Small.DG

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Änderung an der Registry
   • Stiehlt Informationen

Dateien Es werden folgende Dateien erstellt:

– Nicht virulente Datei:
   • %PROGRAM FILES%\Common Files\Microsoft Shared\Web Folders\$_2341234.tmp

– %PROGRAM FILES%\Common Files\Microsoft Shared\Web Folders\$_2341233.tmp Diese Datei ist eine nicht virulente Textdatei mit folgendem Inhalt:
   • %gestohlene Infromation%

– %PROGRAM FILES%\Common Files\Microsoft Shared\Web Folders\ibm00001.exe Des weiteren wird sie ausgeführt nachdem sie vollständig erstellt wurde. Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: TR/PSW.Proxy.A.3

– %PROGRAM FILES%\Common Files\Microsoft Shared\Web Folders\ibm00001.dll Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: TR/PSW.Proxy.A.2

– %PROGRAM FILES%\Common Files\Microsoft Shared\Web Folders\ibm00002.dll Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: TR/PSW.Proxy.A.4

Es wird versucht folgende Datei herunterzuladen:

– Die URL ist folgende:
   • http://us15.info/gamma/x25.php?id%mehrere zufällige Zahlen von 0 - 9%&sv=%mehrere zufällige Zahlen von 0 - 9%&build%mehrere zufällige Zahlen von 0 - 9%&ts%mehrere zufällige Zahlen von 0 - 9%&ip=%aktuelle IP Adresse%&sport=%geöffneter Port%&hport=%geöffneter Port%&os=%mehrere zufällige Zahlen von 0 - 9%
Diese wird lokal gespeichert unter: %PROGRAM FILES%\Common Files\Microsoft Shared\Web Folders\$_2341233.exe Des Weiteren wird diese Datei ausgeführt nachdem sie vollständig heruntergeladen wurde. Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist.

Registry Der folgende Registryschlüssel wird hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "Shell"="\"%PROGRAM FILES%\Common Files\\Microsoft Shared\\Web Folders\\ibm00001.exe\""

Folgender Registryschlüssel wird geändert:

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
   Alter Wert:
   • "Shell"="Explorer.exe"
   Neuer Wert:
   • "Shell"="explorer.exe%mehrere Leerzeichen%\"%PROGRAM FILES%\Common Files\\Microsoft Shared\\Web Folders\\ibm00001.exe\""

Hintertür Die folgenden Ports werden geöffnet:

– explorer.exe an einem zufälligen TCP port um einen Proxy Server zur Verfügung zu stellen.
– explorer.exe an einem zufälligen TCP port um einen Socks5 Proxy Server zur Verfügung zu stellen.

Kontaktiert Server:
Den folgenden:
   • http://us15.info/**********/x25.php

Hierdurch können Informationen gesendet werden. Dies geschieht mittels der HTTP POST Methode unter Verwendung eines PHP Scripts.

Sende Informationen über:
    • Versteckte Passwörter
    • IP Adresse
    • Geöffneter Port
    • Aus dem Diebstahl-Bereich gesammelte Informationen
    • Information über das Windows Betriebsystem

Diebstahl Es wird versucht folgende Information zu klauen:
– Aus folgendem Registry Key gelesene Email Kontoinformation: HKCU\Software\Microsoft\Internet Account Manager\Accounts

– Nachdem folgende Webseite besucht wurde wird eine Protokollfunktion gestartet:
   • %jede Webseite mit Login-Formular%

– Aufgezeichnet wird:
    • Fensterinformation
    • Anmeldeinformation

Injektion – Es injiziert folgende Datei in einen Prozess: %PROGRAM FILES%\Common Files\Microsoft Shared\Web Folders\ibm00001.dll

    Prozessname:
   • explorer.exe

– Es injiziert folgende Datei in einen Prozess: %PROGRAM FILES%\Common Files\Microsoft Shared\Web Folders\ibm00002.dll

    Prozessname:
   • explorer.exe

Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in Borland C++ geschrieben.

Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit folgendem Laufzeitpacker gepackt:
• UPX

Kurzfassung hier.

Beschreibung erstellt von Andrei Gherman am Mon, 24 Oct 2005 09:23 (GMT+1)
Beschreibung geändert von Andrei Gherman am Fri, 28 Oct 2005 12:40 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück