TR/Drop.Small.afo.2 - Trojan

Siehe auch

Kurzfassung

Vollständig

Statistik

Name:	TR/Drop.Small.afo.2
Entdeckt am:	19/10/2005
Art:	Trojan
In freier Wildbahn:	Nein
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig
Schadenspotenzial:	Niedrig bis mittel
Statische Datei:	Ja
Dateigröße:	20.992 Bytes
MD5 Prüfsumme:	C15B84E4255421287EE76E4CDAFBE04D
VDF Version:	6.32.00.101 - Wed, 19 Oct 2005 17:07 (GMT+1)

General Verbreitungsmethode:
   • Keine eigene Verbreitungsroutine

Aliases:
   • Kaspersky: Trojan-Dropper.Win32.Small.afo
   • Bitdefender: Trojan.Mailer.AVKiller.BM

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Terminierung von Sicherheitsprogrammen
   • Erstellt eine potentiell gefährliche Datei
   • Verfügt über eigene Email Engine
   • Änderung an der Registry

Dateien Eine Kopie seiner selbst wird hier erzeugt:
• %SYSDIR%\%zufällige Buchstabenkombination%.exe

Die anfänglich ausgeführte Kopie der Malware wird gelöscht.

Es wird folgende Datei erstellt:

– %SYSDIR%\%zufällige Buchstabenkombination%.dll Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: TR/Drop.Sma.afo.2.A

Registry Folgende Registryschlüssel werden hinzugefügt:

– [HKLM\SOFTWARE\Classes\CLSID\
   {7368D5FC-6F5C-4f5b-B964-E67214F67852}]
– [HKLM\SOFTWARE\Classes\CLSID\{7368D5FC-6F5C-4f5b-B964-E67214F67852}\
   InProcServer32]
   • @="%zufällige Buchstabenkombination%.dll"
   • "ThreadingModel"="Apartment"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\
   ShellServiceObjectDelayLoad]
   • "SysTray.Exys"="{7368D5FC-6F5C-4f5b-B964-E67214F67852}"

Email Die Malware verfügt über eine eigene SMTP engine um Spam Emails zu versenden. Hierbei wird die Verbindung mit dem Zielserver direkt aufgebaut. Die Einzelheiten sind im Folgenden aufgeführt:

Von:
Gesammelte Adressen aus dem Internet. Bitte vermuten Sie nicht, dass es des Absenders Absicht war diese Email zu schicken. Es ist möglich, dass er nichts über seine Infektion weiß oder sogar nicht infiziert ist. Des Weiteren ist es möglich, dass Sie Emails bekommen in denen die Rede davon ist, dass Sie infiziert sind was möglicherweise auch nicht stimmt.

An:
– Gesammelte Adressen aus dem Internet.

Versand Sammeln von Adressen:
Es sammelt Adressen indem folgende Webseiten kontaktiert werden:
• 209.160.72.**********
• http://ys.sec**********.info

Prozess Beendigung Liste der Prozesse die beendet werden:
   • ARMOR2NET.EXE; SAVSCAN.EXE; NPROTECT.EXE; NVSVC32.EXE; _AVP32.EXE;
      _AVPCC.EXE; _AVPM.EXE; ACKWIN32.EXE; ANTI-TROJAN.EXE; APVXDWIN.EXE;
      AUTODOWN.EXE; AVCONSOL.EXE; AVE32.EXE; AVGCTRL.EXE; AVKSERV.EXE;
      AVNT.EXE; AVP.EXE; AVP32.EXE; AVPCC.EXE; AVPDOS32.EXE; AVPM.EXE;
      AVPTC32.EXE; AVPUPD.EXE; AVSCHED32.EXE; AVWIN95.EXE; AVWUPD32.EXE;
      BLACKD.EXE; BLACKICE.EXE; CFIADMIN.EXE; CFIAUDIT.EXE; CFINET.EXE;
      CFINET32.EXE; CLAW95.EXE; CLAW95CF.EXE; CLEANER.EXE; CLEANER3.EXE;
      DVP95.EXE; DVP95_0.EXE; ECENGINE.EXE; ESAFE.EXE; ESPWATCH.EXE;
      F-AGNT95.EXE; FINDVIRU.EXE; FPROT.EXE; F-PROT.EXE; F-PROT95.EXE;
      FP-WIN.EXE; FRW.EXE; F-STOPW.EXE; IAMAPP.EXE; IAMSERV.EXE; IBMASN.EXE;
      IBMAVSP.EXE; ICLOAD95.EXE; ICLOADNT.EXE; ICMON.EXE; ICSUPP95.EXE;
      ICSUPPNT.EXE; IFACE.EXE; IOMON98.EXE; JEDI.EXE; LOCKDOWN2000.EXE;
      LOOKOUT.EXE; LUALL.EXE; MOOLIVE.EXE; MPFTRAY.EXE; N32SCANW.EXE;
      NAVAPW32.EXE; NAVLU32.EXE; NAVNT.EXE; NAVW32.EXE; NAVWNT.EXE;
      NISUM.EXE; NMAIN.EXE; NORMIST.EXE; NUPGRADE.EXE; NVC95.EXE;
      OUTPOST.EXE; PADMIN.EXE; PAVCL.EXE; PAVSCHED.EXE; PAVW.EXE;
      PCCWIN98.EXE; PCFWALLICON.EXE; PERSFW.EXE; RAV7.EXE; RAV7WIN.EXE;
      RESCUE.EXE; SAFEWEB.EXE; SCAN32.EXE; SCAN95.EXE; SCANPM.EXE;
      SCRSCAN.EXE; SERV95.EXE; SMC.EXE; SPHINX.EXE; SWEEP95.EXE; TBSCAN.EXE;
      TCA.EXE; TDS2-98.EXE; TDS2-NT.EXE; VET95.EXE; VETTRAY.EXE;
      VSCAN40.EXE; VSECOMR.EXE; VSHWIN32.EXE; VSSTAT.EXE; WEBSCANX.EXE;
      WFINDV32.EXE; ZONEALARM.EXE

Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in Borland C++ geschrieben.

Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit folgenden Laufzeitpackern gepackt:
• PecBundle
• PECompact

Kurzfassung hier.

Beschreibung erstellt von Andrei Gherman am Tue, 25 Oct 2005 11:05 (GMT+1)
Beschreibung geändert von Andrei Gherman am Tue, 01 Nov 2005 10:25 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück