BDS/Delf.CO.13 - Backdoor Server

Siehe auch Deutsch

Kurzfassung

Vollständig

Statistik

Name:	BDS/Delf.CO.13
Entdeckt am:	04/08/2006
Art:	Backdoor Server
In freier Wildbahn:	Nein
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig
Schadenspotenzial:	Mittel
Statische Datei:	Ja
Dateigröße:	760.320 Bytes
MD5 Prüfsumme:	0756d255c3bae4a5b691bc1c1e22a49b
VDF Version:	6.35.01.46 - Fri, 04 Aug 2006 06:39 (GMT+1) - Fri, 04 Aug 2006 06:39 (GMT+1)
IVDF Version:	6.35.01.46 - Fri, 04 Aug 2006 06:39 (GMT+1) - Fri, 04 Aug 2006 06:39 (GMT+1)

General Verbreitungsmethode:
   • Keine eigene Verbreitungsroutine
   • Kaspersky: Backdoor.Win32.Delf.co
   • Bitdefender: Backdoor.Delf.CO

Betriebsysteme:
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Lädt Dateien herunter
   • Lädt schädliche Dateien herunter
   • Änderung an der Registry
   • Stiehlt Informationen
   • Ermöglicht unbefugten Zugriff auf den Computer

Dateien Eine Kopie seiner selbst wird hier erzeugt:
   • %PROGRAM FILES%\PViever\pviever.exe

Es wird folgendes Verzeichnis erstellt:
   • %PROGRAM FILES%\PViever\

Es wird folgende Datei erstellt:

– %PROGRAM FILES%\PViever\uin.txt Diese Datei ist eine nicht virulente Textdatei mit folgendem Inhalt:
   • %aktuelles Datum%%Nummer%

Registry Der folgende Registryschlüssel wird hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • "PViever"=""%PROGRAM FILES%\PViever\pviever.exe" hide"

Folgende Registryschlüssel werden hinzugefügt:

– HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\
   User Agent
– HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\
   User Agent\Post Platform
   • "(Default)"=""

– HKLM\SOFTWARE\Surf
   • "mhost"=%von der Malware genutzte Internet-Ressource%
   • "uin"=%aktuelles Datum%%Nummer%

Folgende Registryschlüssel werden geändert:

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\URL\Prefixes
   Alter Wert:
   • "www"="http://"
   Neuer Wert:
   • "www"="http://htpp.ws?"

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\URL\DefaultPrefix
   Alter Wert:
   • "(Default)"="http://"
   Neuer Wert:
   • "(Default)"="http://htpp.ws?"

Hintertür Kontaktiert Server:
Einer der folgenden:
   • http://neo**********
   • http://super**********
   • http://htp**********
   • http://xe**********
   • http://mirax.spb.ru**********

Hierdurch können Informationen gesendet und Hintertürfunktionen bereitgestellt werden. Außerdem wird die Verbindung regelmäßig wiederholt. Dies geschieht mittels einer HTTP GET Anfrage an ein PHP Script.

Diebstahl Es wird versucht folgende Information zu klauen:
– In 'Passwort Eingabefelder' eingetippte Passwörter

Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in Delphi geschrieben.

Kurzfassung hier.

Beschreibung erstellt von Teodor Onisor am Mon, 07 Aug 2006 13:45 (GMT+1)
Beschreibung geändert von Teodor Onisor am Tue, 08 Aug 2006 09:29 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück