TR/Dldr.Small.cah.1 - Trojan

Siehe auch

Kurzfassung

Vollständig

Statistik

Name:	TR/Dldr.Small.cah.1
Art:	Trojan
Nebenart:	Downloader
In freier Wildbahn:	Ja
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig
Schadenspotenzial:	Niedrig bis mittel
Statische Datei:	Ja
Dateigröße:	8.367 Bytes
MD5 Prüfsumme:	a9478f383e033f905e7bdc0C57f55abd
VDF Version:	6.33.00.31 - Thu, 15 Dec 2005 14:52 (GMT+1)

General Verbreitungsmethode:
   • Keine eigene Verbreitungsroutine

Aliases:
   • Kaspersky: Trojan-Downloader.Win32.Small.cah
   • TrendMicro: TROJ_SMALL.AZR
   • Bitdefender: Trojan.Downloader.Small.CAH

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows 2000
   • Windows XP

Auswirkungen:
   • Lädt schädliche Dateien herunter
   • Stiehlt Informationen

Dateien Es wird folgende Datei erstellt:

– %TEMPDIR%\d.bat Des weiteren wird sie ausgeführt nachdem sie vollständig erstellt wurde. Diese Batchdatei wird genutzt um eine Datei zu löschen.

Es wird versucht die folgenden Dateien herunterzuladen:

– Die URLs sind folgende:
   • http://ownusa.info/st4/**********
   • http://2006.info/st4/**********
   • http://cnnmoving.info/st4/**********
   • http://whitehousedot.info/st4/**********
   • http://musah.info/st4/**********
Diese wird lokal gespeichert unter: %SYSDIR%\browsela.dll Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: TR/Dldr.Delf.aeo

– Die URLs sind folgende:
   • http://ownusa.info/st4/**********
   • http://2006.info/st4/**********
   • http://cnnmoving.info/st4/**********
   • http://whitehousedot.info/st4/**********
   • http://musah.info/st4/**********
Diese wird lokal gespeichert unter: %WINDIR%\g %siebenstellige zufällige Buchstabenkombination%.dll Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: TR/Dldr.Delf.aeo

Registry Folgende Registryschlüssel werden hinzugefügt:

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\
   browsela]
   • "DLLName"="%SYSDIR%\browsela.dll"
   • "logoff"="WACLEventLogoff"
   • "lock"="WACLEventLock"
   • "logon"="WACLEventLogon"
   • "startup"="WACLEventStartup"
   • "shutdown"="WACLEventShutdown"
   • "startshell"="WACLEventStartShell"
   • "unlock"="WACLEventUnlock"
   • "startscreensaver"="WACLEventStartScreenSaver"
   • "stopscreensaver"="WACLEventStopScreenSav

– [HKLM\SOFTWARE\Classes\CLSID\%generierter CLSID%]
   • @="%SYSDIR%\browsela.dll"
   • "ThreadingModel"="Apartment"

– [HKLM\SOFTWARE\Classes\CLSID\%generierter CLSID% \
   InprocServer32]
   • @="%SYSDIR%\browsela.dll"
   • "ThreadingModel"="Apartment"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
   SharedTaskScheduler]
   • "%generierter CLSID% "="Master Browseui"

– [HKCU\Software\Microsoft\Internet Explorer]
   • "L"=%Hex Werte%

Hintertür Den folgenden:
   • www.content-loader.com/getdata/**********

Hierdurch können Informationen gesendet werden. Dies geschieht mittels einer HTTP GET Anfrage an ein PHP Script.

Sende Informationen über:
    • Art der Internetverbindung
    • Aktueller Malware Status
    • Informationen über das Netzwerk

Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in Delphi geschrieben.

Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit folgendem Laufzeitpacker gepackt:
• UPX

Kurzfassung hier.

Beschreibung erstellt von Irina Boldea am Tue, 03 Jan 2006 12:06 (GMT+1)
Beschreibung geändert von Andrei Gherman am Tue, 31 Jan 2006 13:41 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück