TR/Dldr.TComBill.O - Trojan

Siehe auch Deutsch

Kurzfassung

Vollständig

Statistik

Name:	TR/Dldr.TComBill.O
Entdeckt am:	03/10/2006
Art:	Trojan
Nebenart:	Downloader
In freier Wildbahn:	Nein
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig
Schadenspotenzial:	Niedrig bis mittel
Statische Datei:	Ja
Dateigröße:	20.992 Bytes
MD5 Prüfsumme:	2a36d74ac7f8a4cd7e3df11b5d84bd4e
VDF Version:	6.36.00.49 - Fri, 22 Sep 2006 08:09 (GMT+1)
IVDF Version:	6.36.00.60 - Tue, 26 Sep 2006 08:33 (GMT+1)

General Verbreitungsmethode:
   • Keine eigene Verbreitungsroutine
   • Mcafee: Downloader-AAP
   • Kaspersky: Trojan-Downloader.Win32.Nurech.b
   • Sophos: Troj/Clagger-AD
   • Eset: Win32/TrojanDownloader.Agent.UF

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Lädt eine schädliche Dateien herunter
   • Erstellt eine Datei
   • Änderung an der Registry

Dateien Eine Kopie seiner selbst wird hier erzeugt:
   • %SYSDIR%\ipf.exe

Es wird folgende Datei erstellt:

– %SYSDIR%\drivers\winut.dat Diese Datei ist eine nicht virulente Textdatei mit folgendem Inhalt:
   • http://mncppcbulletinboard.org/images/**********
     http://paulfrank.name/media/**********
     http://addiekay.com/images/rotate/**********
     http://deja-rue.com/mypix/**********
     http://derbydaddy.com/sponsor/**********
     http://databane.com/images/sidebar/**********
     http://shinerbach.com/photo/album1/**********
     http://spicynites.co.uk/images/**********
     http://carpetsdirect-r-us.com/e107_docs/**********
     http://gorelov-dv.org/files/weg.txt
     http://cwmdulais.org.uk/public_html/images/**********
     http://mjfconsultancy.com/images/**********
     http://mcgeown.co.uk/images/**********
     http://ecocleanservices.co.uk/**********
     http://caithnesscanineclub.co.uk/gallery/pictures/**********
     http://kosheen.net/e107_files/downloadimages/**********
     http://83.149.103.136/**********

Es wird versucht folgende Datei herunterzuladen:

– Die URLs sind folgende:
   • http://mncppcbulletinboard.org/images/**********
   • http://paulfrank.name/media/**********
   • http://addiekay.com/images/rotate/**********
   • http://deja-rue.com/mypix/**********
   • http://derbydaddy.com/sponsor/**********
   • http://databane.com/images/sidebar/**********
   • http://shinerbach.com/photo/album1/**********
   • http://spicynites.co.uk/images/**********
   • http://carpetsdirect-r-us.com/e107_docs/**********
   • http://gorelov-dv.org/files/weg.txt
   • http://cwmdulais.org.uk/public_html/images/**********
   • http://mjfconsultancy.com/images/**********
   • http://mcgeown.co.uk/images/**********
   • http://ecocleanservices.co.uk/**********
   • http://caithnesscanineclub.co.uk/gallery/pictures/**********
   • http://kosheen.net/e107_files/downloadimages/**********
   • http://83.149.103.136/**********
Diese wird lokal gespeichert unter: %SYSDIR%\drivers\winut.dat Des Weiteren wird diese Datei ausgeführt nachdem sie vollständig heruntergeladen wurde. Diese Datei enthält wahrscheinlich Download-Adressen welche als weitere Quelle für neue Bedrohungen dienen können.

Registry Einer der folgenden Werte wird dem Registry key hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
• "ifp"="%Verzeichnis in dem die Malware ausgeführt wurde%\%ausgeführte Datei%"

Folgender Registryschlüssel wird hinzugefügt:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion]
• "windowsshell"=dword:00000001

Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in MS Visual C++ geschrieben.

Kurzfassung hier.

Beschreibung erstellt von Monica Ghitun am Tue, 03 Oct 2006 16:01 (GMT+1)
Beschreibung geändert von Andrei Ivanes am Thu, 26 Oct 2006 10:45 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück