TR/Spy.Haxspy.Z - Trojan

Siehe auch

Kurzfassung

Vollständig

Statistik

Name:	TR/Spy.Haxspy.Z
Entdeckt am:	29/04/2006
Art:	Trojan
In freier Wildbahn:	Ja
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig
Schadenspotenzial:	Niedrig bis mittel
Statische Datei:	Ja
Dateigröße:	10.824 Bytes
MD5 Prüfsumme:	43C1A11716DE0B3228C230A4E54170F3
VDF Version:	6.34.01.24 - Sat, 29 Apr 2006 14:53 (GMT+1)

General Aliases:
   • Symantec: Backdoor.Haxdoor
   • Kaspersky: Trojan-Spy.Win32.Haxspy.z
   • TrendMicro: TSPY_HAXDOR.AB

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Erstellt schädliche Dateien

Dateien Es werden folgende Dateien erstellt:

– %SYSDIR%\wndtx1.dll Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: TR/Spy.Haxspy.Z.2

– %SYSDIR%\ipudpb2.sys Erkannt als: TR/Spy.Haxspy.Z.1

Registry Die folgenden Registryschlüssel werden hinzugefügt um die Service nach einem Neustart des Systems erneut zu laden.

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\
   wndtx1]
   • "DllName"="wndtx1.dll"
   • "Startup"="wndtx1"
   • "Impersonate"=dword:00000001
   • "Asynchronous"=dword:00000001
   • "MaxWait"=dword:00000001

– [HKLM\SYSTEM\CurrentControlSet\Services\ipudpb2]
   • "Type"=dword:00000001
   • "Start"=dword:00000001
   • "ErrorControl"=dword:00000000
   • "ImagePath"="%SYSDIR%\ipudpb2.sys"
   • "DisplayName"="IP2 UDPB2"

– [HKLM\SYSTEM\CurrentControlSet\Services\ipudpb2\Security]
   • "Security"=%Hex Werte%

– [HKLM\SYSTEM\CurrentControlSet\Services\ipudpb2\Enum]
   • "0"="Root\\LEGACY_IPUDPB2\\0000"
   • "Count"=dword:00000001
   • "NextInstance"=dword:00000001

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_IPUDPB2\0000]
   • "Service"="ipudpb2"
   • "Legacy"=dword:00000001
   • "ConfigFlags"=dword:00000000
   • "Class"="LegacyDriver"
   • "ClassGUID"="{8ECC055D-047F-11D1-A537-0000F8753ED1}"
   • "DeviceDesc"="IP2 UDPB2"

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_IPUDPB2\0000\
   Control]
   • "*NewlyCreated*"=dword:00000000
   • "ActiveService"="ipudpb2"

Datei Einzelheiten Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit folgendem Laufzeitpacker gepackt:
• FSG

Kurzfassung hier.

Beschreibung erstellt von Philipp Wolf am Tue, 02 May 2006 12:15 (GMT+1)
Beschreibung geändert von Philipp Wolf am Tue, 02 May 2006 14:08 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück