TR/PSW.QQSpy.J - Trojan

Siehe auch

Kurzfassung

Vollständig

Statistik

Name:	TR/PSW.QQSpy.J
Entdeckt am:	27/12/2005
Art:	Trojan
In freier Wildbahn:	Ja
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig
Schadenspotenzial:	Mittel
Statische Datei:	Ja
Dateigröße:	23.701 Bytes
MD5 Prüfsumme:	fa92900Ca6961336ce128da6155e4592
VDF Version:	6.33.00.196 - Sat, 04 Feb 2006 15:30 (GMT+1)

General Verbreitungsmethode:
   • Keine eigene Verbreitungsroutine

Aliases:
   • Mcafee: PWS-MMThief
   • TrendMicro: TSPY_AGENT.WF

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows 2000
   • Windows XP

Auswirkungen:
   • Verfügt über eigene Email Engine
   • Zeichnet Tastatureingaben auf
   • Änderung an der Registry
   • Stiehlt Informationen

Dateien Eine Kopie seiner selbst wird hier erzeugt:
• %SYSDIR%\NTCMDX.EXE

Es werden folgende Dateien erstellt:

– %SYSDIR%\cmdxt.dat
– %SYSDIR%\NtdllEx.dll Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: TR/Spy.Agent.ct.4.A

Registry Der folgendeRegistryschlüssel wird in einer Endlosschleife fortlaufen hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
• "ntcmdx"="%SYSDIR%\NTCMDX.EXE"

Folgender Registryschlüssel wird hinzugefügt:

– HKEY_CLASSES_ROOT
• "@"="%SYSDIR%\NTCMDX.EXE"

Email Es besitzt keine eigene Verbreitungsroutine verschickt jedoch eine Email. Der Empfänger ist möglicherweise der Author. Die Einzelheiten sind im folgenden aufgeführt:

Von:
Der Absender der Email ist folgender:
   • eickw@163.com

An:
Der Empfänger der Email ist folgender:
   • eickw1@gmail.com

Betreff:
Folgende:
   • It's Me!!

Body:
Der Body der Email ist folgender:
   • %gestohlene Infromation%

Diebstahl Es wird versucht folgende Information zu klauen:
– In 'Passwort Eingabefelder' eingetippte Passwörter

– Aufgezeichnet wird:
• Fensterinformation
• Anmeldeinformation

Injektion – Es injiziert folgende Datei in einen Prozess: %SYSDIR%\NtdllEx.dll

Prozessname:
• %alle laufenden Prozesse%

Diverses Mutex:
Es wird folgender Mutex erzeugt:
• TopFox

Datei Einzelheiten Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit einem Laufzeitpacker gepackt.

Kurzfassung hier.

Beschreibung erstellt von Irina Boldea am Tue, 27 Dec 2005 12:18 (GMT+1)
Beschreibung geändert von Andrei Ivanes am Fri, 10 Feb 2006 15:15 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück