BDS/Hupigon.E.201 - Backdoor Server

Siehe auch Deutsch

Kurzfassung

Vollständig

Statistik

Name:	BDS/Hupigon.E.201
Entdeckt am:	22/06/2006
Art:	Backdoor Server
In freier Wildbahn:	Nein
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig
Schadenspotenzial:	Mittel
Statische Datei:	Ja
Dateigröße:	348.550 Bytes
MD5 Prüfsumme:	641802385471e1a59e43531570b7d328
VDF Version:	6.35.00.58 - Thu, 22 Jun 2006 11:23 (GMT+1)
IVDF Version:	6.35.00.66 - Sat, 24 Jun 2006 07:08 (GMT+1)

General Verbreitungsmethode:
   • Keine eigene Verbreitungsroutine

Aliases:
   • Mcafee: BackDoor-AWQ.b.dr
   • Kaspersky: Backdoor.Win32.Hupigon.bqp
   • TrendMicro: BKDR_HUPIGON.NP
   • F-Secure: Backdoor.Win32.Hupigon.bqp
   • Sophos: Troj/Hupigo-BLN
   • Bitdefender: Backdoor.Hupigon.E

Betriebsysteme:
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Lädt eine Dateien herunter
   • Erstellt schädliche Dateien
   • Zeichnet Tastatureingaben auf
   • Änderung an der Registry
   • Stiehlt Informationen
   • Ermöglicht unbefugten Zugriff auf den Computer

Dateien Eine Kopie seiner selbst wird hier erzeugt:
• %WINDIR%\WMAPAD.exe

Die anfänglich ausgeführte Kopie der Malware wird gelöscht.

Es werden folgende Dateien erstellt:

– %WINDIR%\uninstal.bat Des weiteren wird sie ausgeführt nachdem sie vollständig erstellt wurde. Diese Batchdatei wird genutzt um eine Datei zu löschen.
– %WINDIR%\WMAPAD.DLL Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: BDS/Hupigon.E.1

– %WINDIR%\WMAPADKey.Dll
– %WINDIR%\WMAPADKey.log Diese Datei enthält gesammelte Tastatureingaben.

Es wird versucht folgende Datei herunterzuladen:

– Die URL ist folgende:
• www.mycoue.com/gz/**********
Diese Datei enthält wahrscheinlich Download-Adressen welche als weitere Quelle für neue Bedrohungen dienen können.

Registry Die folgenden Registryschlüssel werden hinzugefügt um den Service nach einem Neustart des Systems erneut zu laden.

– [HKLM\SYSTEM\ControlSet001\Services\WMAEditServer]
   • "Type"=dword:00000110
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000000
   • "ImagePath"="%WINDIR%\WMAPAD.exe"
   • "DisplayName"="WMAEditServer"
   • "ObjectName"="LocalSystem"
   • "Description"="ÏµÍ³Ä¬ÈÏÓ°Òô±à¼¹¤¾ß"

– [HKLM\SYSTEM\ControlSet001\Services\WMAEditServer\Security]
   • "Security"=%Hex Werte%

– [HKLM\SYSTEM\ControlSet001\Services\WMAEditServer\Enum]
   • "0"="Root\LEGACY_WMAEDITSERVER\0000"
   • "Count"=dword:00000001
   • "NextInstance"=dword:00000001

Folgende Registryschlüssel werden geändert:

– [HKCU\Software\Microsoft\Internet Explorer\Main]
   Alter Wert:
   • "Check_Associations"=%Einstellungen des Benutzers%
   Neuer Wert:
   • "Check_Associations"="yes"

– [HKCU\Software\Microsoft\Internet Connection Wizard]
   Alter Wert:
   • "Completed"=%Einstellungen des Benutzers%
   Neuer Wert:
   • "Completed"=hex:01,00,00,00

Hintertür Kontaktiert Server:
Den folgenden:
• %URL von heruntergeladener Datei%

Möglichkeiten der Fernkontrolle:
• Starte Tastaturüberwachung

Injektion – Es injiziert folgende Datei in einen Prozess: WMAPAD.DLL

    Prozessname:
   • iexplore.exe

– Es injiziert folgende Datei in einen Prozess: WMAPADKey.DLL

    Prozessname:
   • %alle laufenden Prozesse%

Rootkit Technologie Versteckt folgendes:
– Eigene Dateien
– Eigene Registryschlüssel

Eingesetzte Methode:
• Unsichtbar von Windows API

Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in Delphi geschrieben.

Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit einem Laufzeitpacker gepackt.

Kurzfassung hier.

Beschreibung erstellt von Adriana Popa am Wed, 23 Aug 2006 15:29 (GMT+1)
Beschreibung geändert von Adriana Popa am Thu, 24 Aug 2006 10:42 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück