TR/Spy.Goldun.CL.1 - Trojan

Siehe auch Deutsch

Kurzfassung

Vollständig

Statistik

Name:	TR/Spy.Goldun.CL.1
Entdeckt am:	10/07/2006
Art:	Trojan
In freier Wildbahn:	Nein
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig
Schadenspotenzial:	Mittel
Statische Datei:	Ja
Dateigröße:	26.173 Bytes
MD5 Prüfsumme:	fa9e92fdcc371f941eab5201ff532932
VDF Version:	6.35.00.143 - Mon, 10 Jul 2006 14:09 (GMT+1)
IVDF Version:	6.35.00.182 - Wed, 19 Jul 2006 08:09 (GMT+1)

General Verbreitungsmethode:
   • Keine eigene Verbreitungsroutine

Aliases:
   • Symantec: Trojan.Goldun
   • Kaspersky: Trojan-Spy.Win32.Goldun.cl
   • TrendMicro: TSPY_GOLDUN.EU
   • F-Secure: Trojan-Spy.Win32.Goldun.cl
   • VirusBuster: TrojanSpy.Goldun.IO
   • Eset: Win32/Spy.Goldun.HP

Betriebsysteme:
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Blockiert Zugriff auf Webseiten von Sicherheitsfirmen
   • Setzt Sicherheitseinstellungen herunter
   • Zeichnet Tastatureingaben auf
   • Änderung an der Registry
   • Stiehlt Informationen
   • Ermöglicht unbefugten Zugriff auf den Computer

Dateien Es werden folgende Dateien erstellt:

– %SYSDIR%\obbn13t.dll Des weiteren wird sie ausgeführt nachdem sie vollständig erstellt wurde. Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: BDS/Haxdoor.GJ.1

– %SYSDIR%\obbn13rt.sys Des weiteren wird sie ausgeführt nachdem sie vollständig erstellt wurde. Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: TR/Spy.Goldun.CL

– %SYSDIR%\ksl48.bin

Registry Die folgenden Registryschlüssel werden hinzugefügt um die Service nach einem Neustart des Systems erneut zu laden.

– HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\
   obbn13t
   • "DllName"="obbn13t.dll"
   • "Startup"="obbn13t"
   • "Impersonate"=dword:00000001
   • "Asynchronous"=dword:00000001
   • "MaxWait"=dword:00000001
   • "nk48id"="[37BEC52F4C6BE6DDE]"

– HKLM\SYSTEM\CurrentControlSet\Services\obbn13rt
   • "Type"=dword:00000001
   • "Start"=dword:00000001
   • "ErrorControl"=dword:00000000
   • "ImagePath"="\??\%SYSDIR%\obbn13rt.sys"
   • "DisplayName"="Windows Objects manager"

– HKLM\SYSTEM\CurrentControlSet\Services\obbn13rt\Enum
   • "0"="Root\\LEGACY_OBBN13RT\\0000"
   • "Count"=dword:00000001
   • "NextInstance"=dword:00000001

– HKLM\SYSTEM\CurrentControlSet\Services\obbn13rt\Security
   • "Security"=%Hex Werte%

– HKLM\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\
   FirewallPolicy\StandardProfile\AuthorizedApplications\List
   • "%WINDIR%\Explorer.EXE"="%WINDIR%\Explorer.EXE:*:Enabled:explorer"

Hintertür Die folgenden Ports werden geöffnet:

– %SYSDIR%\obbn13t.dll am TCP Port 5075 um eine Shell zur Verfügung zu stellen.
– %SYSDIR%\obbn13t.dll 6051 um einen Proxy Server zur Verfügung zu stellen.
– %SYSDIR%\obbn13t.dll 6052 um einen Socks5 Proxy Server zur Verfügung zu stellen.

Kontaktiert Server:
Einer der folgenden:
   • http://doclogs.com/**********
   • http://doclogs.com/**********

Hierdurch können Informationen gesendet und Hintertürfunktionen bereitgestellt werden. Dies geschieht mittels der HTTP GET und POST Methode unter Verwendung eines PHP Scripts.

Sende Informationen über:
    • Versteckte Passwörter
    • Arbeitszeit der Malware
    • Geöffneter Port
    • Information über das Windows Betriebsystem

Diebstahl Es wird versucht folgende Information zu klauen:
– In 'Passwort Eingabefelder' eingetippte Passwörter
– Aus folgendem Registry Key gelesene Email Kontoinformation: HKCU\Software\Microsoft\Internet Account Manager\Accounts

– Passwörter folgender Programme:
   • Internet Explorer
   • My IE
   • Miranda
   • Mozilla
   • Maxthon
   • The Bat!
   • Outlook Express
   • MSN Explorer
   • ICQ
   • Opera

– Aufgezeichnet wird:
    • Anmeldeinformation

Injektion – Es injiziert folgende Datei in einen Prozess: %SYSDIR%\obbn13t.dll

    Prozessname:
   • %jeder neu gestartete Prozess nachdem die Malware aktiv im Speicher
      ist%

Zweck:
Der Zugriff auf folgende Webseiten wird effektiv unterbunden:
   • avp.ch; customer.symantec.com; dispatch.mcafee.com;
      download.mcafee.com; downloads1.kaspersky-labs.com;
      downloads1.kaspersky-labs.com; downloads2.kaspersky-labs.com; avp.com;
      avp.ru; awaps.net; downloads3.kaspersky-labs.com;
      downloads4.kaspersky-labs.com; updates1.kaspersky-labs.com;
      updates1.kaspersky-labs.com; updates2.kaspersky-labs.com;
      virustotal.com; updates3.kaspersky-labs.com;
      d-ru-2f.kaspersky-labs.com; updates3.kaspersky-labs.com;
      updates4.kaspersky-labs.com; updates5.kaspersky-labs.com;
      downloads-us1.kaspersky-labs.com; downloads-us2.kaspersky-labs.com;
      downloads-us3.kaspersky-labs.com; engine.awaps.net; f-secure.com;
      ftp.avp.ch; ftp.downloads2.kaspersky-labs.com; ftp.f-secure.com;
      ftp.kasperskylab.ru; ftp.kaspersky.ru; d-ru-1f.kaspersky-labs.com;
      d-eu-1f.kaspersky-labs.com; rads.mcafee.com;
      d-eu-2f.kaspersky-labs.com; liveupdate.symantec.com;
      d-us-1f.kaspersky-labs.com; ftp.sophos.com; ids.kaspersky-labs.com;
      kaspersky.com; kaspersky-labs.com; kaspersky.ru;
      liveupdate.symantecliveupdate.com; mast.mcafee.com; mcafee.com;
      my-etrust.com; networkassociates.com; phx.corporate-ir.net;
      securityresponse.symantec.com; service1.symantec.com; sophos.com;
      spd.atdmt.com; symantec.com; trendmicro.com; update.symantec.com;
      updates.symantec.com; us.mcafee.com

Datei Einzelheiten Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit folgendem Laufzeitpacker gepackt:
• FSG

Kurzfassung hier.

Beschreibung erstellt von Teodor Onisor am Thu, 31 Aug 2006 11:55 (GMT+1)
Beschreibung geändert von Teodor Onisor am Mon, 11 Sep 2006 15:09 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück