TR/Mutech.B - Trojan

Siehe auch

Kurzfassung

Vollständig

Statistik

Name:	TR/Mutech.B
Entdeckt am:	13/02/2006
Art:	Trojan
In freier Wildbahn:	Nein
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig
Schadenspotenzial:	Mittel
Statische Datei:	Ja
Dateigröße:	26.624 Bytes
MD5 Prüfsumme:	952e07ec0077f25ea55c844c38bb43ef
VDF Version:	6.33.00.222 - Mon, 13 Feb 2006 07:19 (GMT+1)

General Verbreitungsmethode:
   • Keine eigene Verbreitungsroutine

Aliases:
   • Kaspersky: Trojan-Downloader.Win32.Agent.acv
   • TrendMicro: TROJ_MUTECH.H
   • Bitdefender: Trojan.Mutech.E

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Änderung an der Registry

Dateien Eine Kopie seiner selbst wird hier erzeugt:
• %SYSDIR%\perfont.exe

Es werden folgende Dateien erstellt:

– %SYSDIR%\wbem\wmiprvi.dll Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: TR/Mutech.B

– %SYSDIR%\DRIVERS\netpt.sys

Registry Die folgenden Registryschlüssel werden hinzugefügt um die Service nach einem Neustart des Systems erneut zu laden.

– [HKLM\SYSTEM\CurrentControlSet\Services\NetPT]
   • Type = dword:00000001
   • Start = dword:00000001
   • ErrorControl = dword:00000000
   • ImagePath = system32\DRIVERS\netpt.sys
   • DisplayName = NetBIOS Protection

– [HKLM\SYSTEM\CurrentControlSet\Services\NetPT\Security]
   • Security = %Hex Werte%

– [HKLM\SYSTEM\CurrentControlSet\Services\NetPT\Enum]
   • 0 = Root\LEGACY_NETPT\0000
   • Count = dword:00000001
   • NextInstance = dword:00000001

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_NETPT]
   • NextInstance = dword:00000001

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_NETPT\0000]
   • Service = NetPT
   • Legacy = dword:00000001
   • ConfigFlags = dword:00000000
   • Class = LegacyDriver
   • ClassGUID = {8ECC055D-047F-11D1-A537-0000F8753ED1}
   • DeviceDesc = NetBIOS Protection

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_NETPT\0000\Control]
   • *NewlyCreated* = dword:00000000
   • ActiveService = NetPT

– [HKLM\SYSTEM\CurrentControlSet\Services\PerfFont]
   • Type = dword:00000010
   • Start = dword:00000002
   • ErrorControl = dword:00000000
   • ImagePath = %SYSDIR%\perfont.exe
   • DisplayName = Performance True Type Font
   • ObjectName = LocalSystem

– [HKLM\SYSTEM\CurrentControlSet\Services\PerfFont\Security]
   • Security = %Hex Werte%

– [HKLM\SYSTEM\CurrentControlSet\Services\PerfFont\Enum]
   • 0 = Root\LEGACY_PERFFONT\0000
   • Count = dword:00000001
   • NextInstance = dword:00000001

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_PERFFONT]
   • NextInstance = dword:00000001

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_PERFFONT\0000]
   • Service = PerfFont
   • Legacy = dword:00000001
   • ConfigFlags = dword:00000000
   • Class = LegacyDriver
   • ClassGUID = {8ECC055D-047F-11D1-A537-0000F8753ED1}

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_PERFFONT\0000\
   Control]
   • *NewlyCreated* = dword:00000000
   • ActiveService = PerfFont

Folgende Registryschlüssel werden hinzugefügt:

– [HKCR\CLSID\{4DE225BF-CF59-4CFC-85F7-68B90F185355}\InprocServer32]
   • @ = %SYSDIR%\wbem\wmiprvi.dll
   • ThreadingModel = Both

– [HKLM\SOFTWARE\Classes\CLSID\{4DE225BF-CF59-4CFC-85F7-68B90F185355}\
   InprocServer32]
   • @ = %SYSDIR%\wbem\wmiprvi.dll
   • ThreadingModel = Both

Hintertür Kontaktiert Server:
Den folgenden:
• 85.255.117.**********

Rootkit Technologie Ist eine Technoloie die eine bestimmte Art von Malware beschreibt. Diese versteckt sich vor Systemprogrammen, Sicherheitsprogrammen und letztendlich dem Benutzer.

Versteckt folgendes:
– Eigener Prozess

Kurzfassung hier.

Beschreibung erstellt von Andrei Gherman am Fri, 10 Mar 2006 10:30 (GMT+1)
Beschreibung geändert von Andrei Gherman am Fri, 10 Mar 2006 10:47 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück