TR/Proxy.Horst.bl - Trojan

Siehe auch Deutsch

Kurzfassung

Vollständig

Statistik

Name:	TR/Proxy.Horst.bl
Entdeckt am:	19/04/2006
Art:	Worm
In freier Wildbahn:	Nein
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig
Schadenspotenzial:	Niedrig bis mittel
Statische Datei:	Ja
Dateigröße:	49.664 Bytes
MD5 Prüfsumme:	d06bf79493e4e41528f9ebf2d96a34a1
VDF Version:	6.34.00.199 - Wed, 19 Apr 2006 06:54 (GMT+1)
IVDF Version:	6.34.00.201 - Wed, 19 Apr 2006 10:39 (GMT+1)

General Verbreitungsmethode:
   • Keine eigene Verbreitungsroutine

Aliases:
   • Kaspersky: Trojan-Proxy.Win32.Horst.bl
   • Bitdefender: Trojan.Proxy.Horst.Q

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Änderung an der Registry
   • Ermöglicht unbefugten Zugriff auf den Computer

Dateien Eine Kopie seiner selbst wird hier erzeugt:
• %WINDIR%\system\smss.exe

Es werden folgende Dateien erstellt:

– %TEMPDIR%\tmp1.tmp Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist.
– %SYSDIR%\nvsvcd.exe Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist.

Es wird versucht folgende Datei herunterzuladen:

– Die URL ist folgende:
• http://up.medbod.com/up/**********?jaal-1_%Nummer%_%Nummer%
Diese wird lokal gespeichert unter: %TEMPDIR%\%Nummer%exmodul32.exe Des Weiteren wird diese Datei ausgeführt nachdem sie vollständig heruntergeladen wurde. Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist.

Registry Der folgende Registryschlüssel wird hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • ".nvsvc"="%WINDIR%\system\smss.exe /w"

Die folgenden Registryschlüssel werden hinzugefügt um den Service nach einem Neustart des Systems erneut zu laden.

– HKLM\SYSTEM\CurrentControlSet\Services\Windows Log
   • "Type"=dword:00000010
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000001
   • "ImagePath"="%SYSDIR%\nvsvcd.exe"
   • "DisplayName"="Windows Log"
   • "ObjectName"="LocalSystem"

– HKLM\SYSTEM\CurrentControlSet\Services\Windows Log\Security
   • "Security"=%Hex Werte%

Alle Werte des folgenden Registryschlüssel und alle Subkeys werden gelöscht:
   • HKLM\Software\Microsoft\Windows\CurrentVersion\Run\KAVPersonal50

Folgender Registryschlüssel wird hinzugefügt:

– HKCU\Software\Microsoft\PModule
   • "Hash"="%Hexadezimale Zahl%"
   • "Pid"=dword:00000c88

Email Von:
Gesammelte Adressen aus dem Internet. Bitte vermuten Sie nicht, dass es des Absenders Absicht war diese Email zu schicken. Es ist möglich, dass er nichts über seine Infektion weiß oder sogar nicht infiziert ist. Des Weiteren ist es möglich, dass Sie Emails bekommen in denen die Rede davon ist, dass Sie infiziert sind was möglicherweise auch nicht stimmt.

An:
– Gesammelte Adressen aus dem Internet.

Body:
– Verwendung von HTML Inhalten.
Der Inhalt stammt aus der Datei: http://seekj.lootseek.com/d/**********

Die Email sieht wie folgt aus:

IRC Um Systeminformationen zu übermitteln und Fernsteuerung sicherzustellen werden Verbindungen mit folgenden IRC Servern hergestellt:

Server: info.cabmun.**********
Port: 5190
Nickname: jaal-1_%Nummer%_%Nummer%

Server: up.barmuz.**********
Port: 1021
Nickname: jaal-1_%Nummer%_%Nummer%

– Des Weiteren besitzt die Malware die Fähigkeit folgende Aktionen durchzuführen:
• Datei herunterladen
• Datei ausführen

Hintertür Kontaktiert Server:
Den folgenden:
• http://rc.rizalof.com/**********?version=%Nummer%

Sende Informationen über:
• Aktueller Malware Status

Datei Einzelheiten Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit folgendem Laufzeitpacker gepackt:
• UPX

Kurzfassung hier.

Beschreibung erstellt von Ionut Slaveanu am Wed, 14 Jun 2006 10:50 (GMT+1)
Beschreibung geändert von Ionut Slaveanu am Wed, 28 Jun 2006 14:21 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück