TR/PSW.Hangame.CM - Trojan

Siehe auch Deutsch

Kurzfassung

Vollständig

Statistik

Name:	TR/PSW.Hangame.CM
Entdeckt am:	19/10/2006
Art:	Trojan
In freier Wildbahn:	Nein
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig
Schadenspotenzial:	Mittel
Statische Datei:	Ja
Dateigröße:	80.896 Bytes
MD5 Prüfsumme:	52d693b8696f803f255bfdc7047b8aed
VDF Version:	6.36.00.137 - Thu, 19 Oct 2006 18:36 (GMT+1)
IVDF Version:	6.36.00.154 - Tue, 24 Oct 2006 08:00 (GMT+1)

General Verbreitungsmethode:
   • Keine eigene Verbreitungsroutine

Aliases:
   • Mcafee: PWS-Gamania
   • Kaspersky: Trojan-PSW.Win32.Hangame.cl
   • F-Secure: Trojan-PSW.Win32.Hangame.cl
   • Sophos: Troj/Lineag-E
   • VirusBuster: Trojan.PWS.Lineage.AJM
   • Eset: Win32/PSW.Lineage.AJP

Betriebsysteme:
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Lädt eine schädliche Dateien herunter
   • Stiehlt Informationen

Dateien Eine Kopie seiner selbst wird hier erzeugt:
   • %PROGRAM FILES%\Windows Media Player\svchost.exe

Die anfänglich ausgeführte Kopie der Malware wird gelöscht.

Es werden folgende Dateien erstellt:

– %TEMPDIR%\$$c2E.tmp.bat Des weiteren wird sie ausgeführt nachdem sie vollständig erstellt wurde. Diese Batchdatei wird genutzt um eine Datei zu löschen.
– %SYSDIR%\PDLL.dll Des weiteren wird sie ausgeführt nachdem sie vollständig erstellt wurde. Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: TR/PSW.Hangame.CM

Es wird versucht die folgenden Dateien herunterzuladen:

– Die URL ist folgende:
   • http://www.gameanai.com/linegae/**********
Diese wird lokal gespeichert unter: %WINDIR%\d1.dat

– Die URL ist folgende:
   • http://www.gameanai.com/linegae/**********
Diese wird lokal gespeichert unter: %WINDIR%\d2_.exe Des Weiteren wird diese Datei ausgeführt nachdem sie vollständig heruntergeladen wurde. Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: TR/Crypt.NSAnti.Gen

Registry Folgender Registryschlüssel wird geändert:

– HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
   Alter Wert:
   • "Userinit"="%SYSDIR%\userinit.exe,"
   Neuer Wert:
   • "Userinit"="%SYSDIR%\userinit.exe,%PROGRAM FILES%\Windows Media Player\svchost.exe,"

Hintertür Kontaktiert Server:
Den folgenden:
   • http://huang13062236333.www111.cni**********

Hierdurch können Informationen gesendet werden.

Sende Informationen über:
    • Computername
    • IP Adresse
    • Aus dem Diebstahl-Bereich gesammelte Informationen

Diebstahl Es wird versucht folgende Information zu klauen:

– Nachdem eine Webseite besucht wurde dessen URL folgenden Substing enthält, wird eine Protokollfunktion gestartet:
• http://tw.login.yahoo.com/cgi-bin/login.cgi?srv=

– Aufgezeichnet wird:
• Anmeldeinformation

Injektion – Es injiziert folgende Datei in einen Prozess: %SYSDIR%\PDLL.dll

Prozessname:
• %alle laufenden Prozesse%

Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in Delphi geschrieben.

Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit folgendem Laufzeitpacker gepackt:
• UPX

Kurzfassung hier.

Beschreibung erstellt von Teodor Onisor am Fri, 27 Oct 2006 17:34 (GMT+1)
Beschreibung geändert von Teodor Onisor am Tue, 31 Oct 2006 09:55 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück