TR/PSW.Legendmir.DT - Trojan

Siehe auch Deutsch

Kurzfassung

Vollständig

Statistik

Name:	TR/PSW.Legendmir.DT
Entdeckt am:	10/10/2006
Art:	Trojan
In freier Wildbahn:	Ja
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig
Schadenspotenzial:	Mittel
Statische Datei:	Ja
Dateigröße:	52.217 Bytes
MD5 Prüfsumme:	4dd6ae5c4efd96ee00ccad73c6b7ab38
VDF Version:	6.36.00.61 - Tue, 26 Sep 2006 14:30 (GMT+1)
IVDF Version:	6.36.00.75 - Tue, 03 Oct 2006 11:51 (GMT+1)

General Verbreitungsmethode:
   • Keine eigene Verbreitungsroutine

Aliases:
   • Mcafee: PWS-WoW trojan
   • Kaspersky: Trojan-PSW.Win32.WOW.jf
   • Sophos: Troj/WOW-HI
   • Eset: Win32/PSW.Legendmir

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Erstellt Dateien
   • Änderung an der Registry
   • Macht sich Software Verwundbarkeit zu nutzen
   • Stiehlt Informationen

Dateien Kopien seiner selbst werden hier erzeugt:
   • %WINDIR%\LSASS.exe
   • %WINDIR%\EXERT.exe
   • %PROGRAM FILES%\Internet Explorer\INTEXPLORE.com
   • %PROGRAM FILES%\Common Files\INTEXPLORE.pif
   • %SYSDIR%\dxdiag.com
   • %SYSDIR%\MSCONFIG.COM
   • %SYSDIR%\regedit.com
   • %WINDIR%\Debug\DebugProgram.exe
   • D:\command.com

Es wird folgende Datei erstellt:

– D:\autorun.inf Des weiteren wird sie ausgeführt nachdem sie vollständig erstellt wurde. Enthält von der Malware genutzte Parameter.

Registry Der folgendeRegistryschlüssel wird in einer Endlosschleife fortlaufen hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "ToP"="%WINDIR%\LSASS.exe"

Der Wert des folgenden Registry keys wird gelöscht:

– [HKLM\SECURITY\RXACT\Log]

Alle Werte des folgenden Registryschlüssel und alle Subkeys werden gelöscht:
   • [HKLM\SAM\SAM]

Folgende Registryschlüssel werden hinzugefügt:

– [HKCR\WindowFiles\DefaultIcon]
   • "(Default)"="%1"

– [HKCR\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\
   OpenHomePage\Command]
   • "(Default)"=""%PROGRAM FILES%\Internet Explorer\INTEXPLORE.com""

– [HKCR\WindowFiles\Shell\Open\Command]
   • "(Default)"="%WINDIR%\EXERT.exe "%1" %*"

– [HKCU\Software\VB and VBA Program Settings\Microsoft Soft Debuger\
   Settings]
   • "GUID"="{E4C6MY-V2IHI1-3W0IJ0-JG4EWB-6O7JE8}"

Folgende Registryschlüssel werden geändert:

– [HKCU\Software\Microsoft\Internet Explorer\Main]
   Neuer Wert:
   • "Check_Associations"="No"

– [HKCR\htmlfile\shell\open\command]
   Neuer Wert:
   • "(Default)"=""%PROGRAM FILES%\Internet Explorer\INTEXPLORE.com" -nohome"

– [HKCR\Applications\iexplore.exe\shell\open\command]
   Neuer Wert:
   • "(Default)"=""%PROGRAM FILES%\Internet Explorer\INTEXPLORE.com" %1"

– [HKCR\ftp\shell\open\command]
   Neuer Wert:
   • "(Default)"=""%PROGRAM FILES%\Internet Explorer\INTEXPLORE.com" %1"

– [HKCR\htmlfile\shell\opennew\command]
   Neuer Wert:
   • "(Default)"=""%PROGRAM FILES%\Common Files\INTEXPLORE.pif" %1"

– [HKCR\http\shell\open\command]
   Neuer Wert:
   • "(Default)"=""%PROGRAM FILES%\Common Files\INTEXPLORE.pif" %1"

– [HKCR\.exe]
   Neuer Wert:
   • "(Default)"="WindowFiles"

Infektion über das Netzwerk Exploit:
Folgende Sicherheitslücke wird ausgenutzt:
– MS04-011 (LSASS Vulnerability)

Prozess Beendigung Liste der Prozesse die beendet werden:
   • RAVMON*; TROJDIE*; KPOP*; CCENTER*; *ASSISTSE*; KPFW*; AGENTSVR*; KV*;
      KREG*; IEFIND*; IPARMOR*; SVI.EXE; UPHC*; RULEWIZE*; FYGT*; RFWSRV*;
      RFWMA*; TROJAN*; MMSK*

Diebstahl Es wird versucht folgende Information zu klauen:
– In 'Passwort Eingabefelder' eingetippte Passwörter

– Das Passwort des Programmes:
   • World of Warcraft

– Nachdem eine der folgenden Webseiten besucht wurde wird eine Protokollfunktion gestartet:
   • us.logon.worldofwarcraft.com
   • eu.logon.worldofwarcraft.com
   • tw.logon.worldofwarcraft.com

– Aufgezeichnet wird:
    • Anmeldeinformation

Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in Visual Basic geschrieben.

Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit einem Laufzeitpacker gepackt.

Kurzfassung hier.

Beschreibung erstellt von Monica Ghitun am Tue, 10 Oct 2006 15:52 (GMT+1)
Beschreibung geändert von Monica Ghitun am Wed, 01 Nov 2006 09:43 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück