TR/Spy.Zagaban.H.1 - Trojan

Siehe auch

Kurzfassung

Vollständig

Statistik

Name:	TR/Spy.Zagaban.H.1
Entdeckt am:	07/11/2005
Art:	Trojan
In freier Wildbahn:	Nein
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig
Schadenspotenzial:	Niedrig bis mittel
Statische Datei:	Ja
Dateigröße:	17.410 Bytes
MD5 Prüfsumme:	96C18812A44E5001545EF5C367786B1E
VDF Version:	6.32.00.154 - Mon, 07 Nov 2005 14:47 (GMT+1)

General Verbreitungsmethode:
   • Keine eigene Verbreitungsroutine

Alias:
   • Kaspersky: Trojan-Spy.Win32.Zagaban.h

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Änderung an der Registry
   • Stiehlt Informationen

Dateien Eine Kopie seiner selbst wird hier erzeugt:
• %SYSDIR%\ipreg.exe

Es wird folgende Datei erstellt:

– %SYSDIR%\spdr.dll Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: TR/Spy.Zagaban.H

Registry Der folgendeRegistryschlüssel wird in einer Endlosschleife fortlaufen hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
• "ipreg"="%SYSDIR%\ipreg.exe"

Hintertür Kontaktiert Server:
Den folgenden:
   • http://alumni**********.com/css/index.php

Hierdurch können Informationen gesendet werden. Dies geschieht mittels einer HTTP GET Anfrage an ein PHP Script.

Sende Informationen über:
    • Umgebungsvariablen
    • Aktueller Malware Status
    • Lokale Aktivität des Benutzers

Injektion – Es injiziert folgende Datei in einen Prozess: %SYSDIR%\spdr.dll

    Alle der folgenden Prozesse:
   • explorer.exe
   • iexplore.exe

Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in MS Visual C++ geschrieben.

Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit folgendem Laufzeitpacker gepackt:
• UPX

Kurzfassung hier.

Beschreibung erstellt von Andrei Gherman am Mon, 07 Nov 2005 16:46 (GMT+1)
Beschreibung geändert von Andrei Gherman am Tue, 08 Nov 2005 10:36 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück