TR/FwBypass.A.537 - Trojan

Siehe auch Deutsch

Kurzfassung

Vollständig

Statistik

Name:	TR/FwBypass.A.537
Entdeckt am:	04/07/2006
Art:	Trojan
In freier Wildbahn:	Nein
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig
Schadenspotenzial:	Mittel
Statische Datei:	Ja
Dateigröße:	113.152 Bytes
MD5 Prüfsumme:	3eb9e470350D6927cff49c790A1e6785
VDF Version:	6.35.00.115
IVDF Version:	6.35.00.141 - Mon, 10 Jul 2006 09:24 (GMT+1)

General Verbreitungsmethode:
   • Keine eigene Verbreitungsroutine

Aliases:
   • Kaspersky: Trojan-PSW.Win32.LdPinch.ats
   • Bitdefender: Trojan.FirewallBypass

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Änderung an der Registry
   • Stiehlt Informationen

Dateien Eine Kopie seiner selbst wird hier erzeugt:
• %WINDIR%\svchîst2.exe

Es wird folgende Datei erstellt:

– c:\out.bin Diese Datei enthält gesammelte Informationen über das System.

Registry Der folgende Registryschlüssel wird hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

– HKCU\Software\Microsoft\Windows\CurrentVersion\Run
   • "System"="%WINDIR%\svchîst2.exe"

Um die Windows XP Firewall zu umgehen wird folgender Eintrag erstellt:

– HKLM\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\
   FirewallPolicy\StandardProfile\AuthorizedApplications\List
   • "%WINDIR%\svchîst2.exe"="%WINDIR%\svchîst2.exe:*:Enabled:svchîst2"

Folgender Registryschlüssel wird hinzugefügt:

– HKCR\.key
   • "(Default)"="regfile"

Email Es besitzt keine eigene Verbreitungsroutine verschickt jedoch eine Email. Der Empfänger ist möglicherweise der Author. Die Einzelheiten sind im folgenden aufgeführt:

Design der Email:

An: xinchpass@mail.ru
Betreff: Subject: Passes from Pinch 2
Dateianhang:
• out.bin

Diebstahl Es wird versucht folgende Information zu klauen:
– Aus folgendem Registry Key gelesene Email Kontoinformation: HKCU\Software\Microsoft\Internet Account Manager\Accounts

– Passwörter folgender Programme:
   • ICQ
   • CuteFTP
   • CuteFTP PRO
   • Far(ftp plugin)
   • Miranda
   • Outlook
   • RimArts
   • The Bat!
   • Total Commander
   • Trillian
   • Windows Commander

Datei Einzelheiten Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit folgendem Laufzeitpacker gepackt:
• ASProtect

Kurzfassung hier.

Beschreibung erstellt von Irina Boldea am Tue, 08 Aug 2006 15:10 (GMT+1)
Beschreibung geändert von Andrei Gherman am Thu, 10 Aug 2006 10:04 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück