TR/Spy.Goldun.LZ - Trojan

Siehe auch Deutsch

Kurzfassung

Vollständig

Statistik

Name:	TR/Spy.Goldun.LZ
Entdeckt am:	31/08/2006
Art:	Trojan
In freier Wildbahn:	Nein
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig
Schadenspotenzial:	Mittel
Statische Datei:	Ja
Dateigröße:	21.662 Bytes
MD5 Prüfsumme:	7467cb4602a9bec41a93113748c54446
VDF Version:	6.35.01.167 - Thu, 31 Aug 2006 14:09 (GMT+1)
IVDF Version:	6.35.01.171 - Fri, 01 Sep 2006 11:56 (GMT+1)

General Verbreitungsmethode:
   • Keine eigene Verbreitungsroutine

Aliases:
   • Symantec: Backdoor.Haxdoor.K
   • Kaspersky: Trojan-Spy.Win32.Goldun.lz
   • TrendMicro: TSPY_GOLDUN.FS
   • Sophos: Troj/Haxdoor-DC
   • VirusBuster: TrojanSpy.Goldun.KX

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Blockiert Zugriff auf Webseiten von Sicherheitsfirmen
   • Erstellt eine Datei
   • Erstellt schädliche Dateien
   • Setzt Sicherheitseinstellungen herunter
   • Änderung an der Registry
   • Stiehlt Informationen

Dateien Es werden folgende Dateien erstellt:

– Nicht virulente Datei:
• %SYSDIR%\tickcnt.bin

– %SYSDIR%\prt47sys.sys Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: TR/Rootkit.Gen

– %SYSDIR%\sysprint.dll Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: TR/PSW.PdPi.CT.1.D

Registry Um die Windows XP Firewall zu umgehen wird folgender Eintrag erstellt:

– HKLM\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\
   FirewallPolicy\StandardProfile\AuthorizedApplications\List
   • "%WINDIR%\Explorer.EXE"="%WINDIR%\Explorer.EXE:*:Enabled:explorer"

Folgender Registryschlüssel wird hinzugefügt:

– HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\
   sysprint
   • "DllName"="sysprint.dll"
   • "Startup"="sysprint"
   • "Impersonate"=dword:00000001
   • "Asynchronous"=dword:00000001
   • "MaxWait"=dword:00000001
   • "ng46key"="[%Nummer%-NG-%aktueller Benutzernamen%]"

– HKLM\SYSTEM\CurrentControlSet\Services\prt47sys
   • "Type"=dword:00000001
   • "Start"=dword:00000001
   • "ErrorControl"=dword:00000000
   • "ImagePath"="\??\%SYSDIR%\prt47sys.sys"
   • "DisplayName"="PRT4701 Printer driver"

Hintertür Kontaktiert Server:
Alle der folgenden:
   • http://bower-inv.com/AU/DATA/**********?os=nt
   • http://bower-inv.com/AU/DATA/**********?param=cmd&socks=0

Hierdurch können Informationen gesendet werden.

Sende Informationen über:
    • Aktueller Malware Status
    • Aus dem Diebstahl-Bereich gesammelte Informationen

Diebstahl Es wird versucht folgende Information zu klauen:

– Nachdem folgende Webseite besucht wurde wird eine Protokollfunktion gestartet:
   • https://www.e-gold.com/acct/ai.asp

– Aufgezeichnet wird:
    • Browserfenster
    • Anmeldeinformation

Injektion – Es injiziert folgende Datei in einen Prozess: %SYSDIR%\sysprint.dll

    Alle der folgenden Prozesse:
   • IEXPLORE.EXE
   • Explorer.EXE

Zweck:
Der Zugriff auf folgende Webseiten wird effektiv unterbunden:
   • avp.ch; customer.symantec.com; dispatch.mcafee.com;
      download.mcafee.com; downloads1.kaspersky-labs.com;
      downloads1.kaspersky-labs.com; downloads1.kaspersky-labs.com;
      downloads2.kaspersky-labs.com; avp.com; avp.ru; awaps.net;
      downloads3.kaspersky-labs.com; downloads4.kaspersky-labs.com;
      updates1.kaspersky-labs.com; updates1.kaspersky-labs.com;
      updates2.kaspersky-labs.com; updates3.kaspersky-labs.com;
      d-ru-2f.kaspersky-labs.com; updates3.kaspersky-labs.com;
      updates4.kaspersky-labs.com; updates5.kaspersky-labs.com;
      downloads-us1.kaspersky-labs.com; downloads-us2.kaspersky-labs.com;
      downloads-us3.kaspersky-labs.com; engine.awaps.net; f-secure.com;
      ftp.avp.ch; ftp.downloads2.kaspersky-labs.com; ftp.f-secure.com;
      ftp.kasperskylab.ru; ftp.kaspersky.ru; d-ru-1f.kaspersky-labs.com;
      d-eu-1f.kaspersky-labs.com; rads.mcafee.com;
      d-eu-2f.kaspersky-labs.com; d-us-1f.kaspersky-labs.com;
      ftp.sophos.com; ids.kaspersky-labs.com; kaspersky.com;
      kaspersky-labs.com; liveupdate.symantec.com; liveupdate.symantec.com;
      liveupdate.symantec.com; liveupdate.symantecliveupdate.com;
      liveupdate.symantecliveupdate.com; mast.mcafee.com; mcafee.com;
      my-etrust.com; networkassociates.com; phx.corporate-ir.net;
      securityresponse.symantec.com; service1.symantec.com; sophos.com;
      spd.atdmt.com; symantec.com; trendmicro.com; update.symantec.com;
      updates.symantec.com; us.mcafee.com; virustotal.com

Rootkit Technologie Ist eine Technoloie die eine bestimmte Art von Malware beschreibt. Diese versteckt sich vor Systemprogrammen, Sicherheitsprogrammen und letztendlich dem Benutzer.

Versteckt folgendes:
– Eigene Dateien

Eingesetzte Methode:
• Unsichtbar von Windows API

Datei Einzelheiten Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit einem Laufzeitpacker gepackt.

Kurzfassung hier.

Beschreibung erstellt von Ionut Slaveanu am Fri, 01 Sep 2006 11:07 (GMT+1)
Beschreibung geändert von Andrei Ivanes am Mon, 18 Sep 2006 09:08 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück