TR/Drop.Starter.M.1 - Trojan

Siehe auch Deutsch

Kurzfassung

Vollständig

Statistik

Name:	TR/Drop.Starter.M.1
Entdeckt am:	16/10/2006
Art:	Trojan
In freier Wildbahn:	Nein
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig
Schadenspotenzial:	Mittel
Statische Datei:	Ja
Dateigröße:	890.164 Bytes
MD5 Prüfsumme:	51da88d0bcd95a6f763f296e7a5aad3a
VDF Version:	6.36.00.109 - Mon, 16 Oct 2006 07:56 (GMT+1)
IVDF Version:	6.36.00.125 - Wed, 18 Oct 2006 11:53 (GMT+1)

General Alias:
   • Sophos: Troj/ServU-ED

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP

Auswirkungen:
   • Erstellt Dateien
   • Erstellt eine potentiell gefährliche Datei
   • Änderung an der Registry
   • Ermöglicht unbefugten Zugriff auf den Computer

Dateien Es werden folgende Dateien erstellt:

– Nicht virulente Dateien:
   • %PROGRAM FILES%\Internet Explorer\lewocXAIrvqopKR.ocx
   • %PROGRAM FILES%\Internet Explorer\t-exec.dll
   • %PROGRAM FILES%\Internet Explorer\t-exec.ini
   • %PROGRAM FILES%\Internet Explorer\tcp_setting.ocx
   • %PROGRAM FILES%\Internet Explorer\updater.dll
   • %PROGRAM FILES%\Internet Explorer\updater.ini
   • %PROGRAM FILES%\Internet Explorer\go.bat

– %PROGRAM FILES%\Internet Explorer\rar.exe Des weiteren wird sie ausgeführt nachdem sie vollständig erstellt wurde. Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: TR/Starter.M

– %PROGRAM FILES%\Internet Explorer\ie-explorer.exe Des weiteren wird sie ausgeführt nachdem sie vollständig erstellt wurde. Erkannt als: SPR/FTPServ.A

Registry Die folgenden Registryschlüssel werden hinzugefügt um den Service nach einem Neustart des Systems erneut zu laden.

– HKLM\SYSTEM\CurrentControlSet\Services\tcp-ip
   • "Type"=dword:00000010
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000001
   • "ImagePath"="%PROGRAM FILES%\Internet Explorer\ie-explorer.exe"
   • "DisplayName"="Internet Protocol"
   • "ObjectName"="LocalSystem"
   • "Description"="Enables Internet Protocol connections over TCP (TCP/IP) include NetBIOS Support"

Folgende Registryschlüssel werden hinzugefügt:

– HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_TCP-IP
   • "NextInstance"=dword:00000001

– HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_TCP-IP\0000
   • "Service"="tcp-ip"
   • "Legacy"=dword:00000001
   • "ConfigFlags"=dword:00000000
   • "Class"="LegacyDriver"
   • "ClassGUID"="{8ECC055D-047F-11D1-A537-0000F8753ED1}"
   • "DeviceDesc"="Internet Protocol"

– HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_TCP-IP\0000\Control
   • "*NewlyCreated*"=dword:00000000
   • "ActiveService"="tcp-ip"

– HKLM\SYSTEM\CurrentControlSet\Services\tcp-ip\Security
   • "Security"=%hex value%

– HKLM\SYSTEM\CurrentControlSet\Services\tcp-ip\Enum
   • "0"="Root\\LEGACY_TCP-IP\\0000"
   • "Count"=dword:00000001
   • "NextInstance"=dword:00000001

Hintertür Die folgenden Ports werden geöffnet:

– %PROGRAM FILES%\Internet Explorer\ie-explorer.exe am TCP Port 1480 um einen FTP Server zur Verfügung zu stellen.
– %PROGRAM FILES%\Internet Explorer\ie-explorer.exe am TCP Port 1908 um einen FTP Server zur Verfügung zu stellen.
– %PROGRAM FILES%\Internet Explorer\ie-explorer.exe am TCP Port 3389 um einen FTP Server zur Verfügung zu stellen.
– %PROGRAM FILES%\Internet Explorer\ie-explorer.exe am TCP Port 6666 um einen FTP Server zur Verfügung zu stellen.
– %PROGRAM FILES%\Internet Explorer\ie-explorer.exe am TCP Port 10000 um einen FTP Server zur Verfügung zu stellen.
– %PROGRAM FILES%\Internet Explorer\ie-explorer.exe am TCP Port 19820 um einen FTP Server zur Verfügung zu stellen.
– %PROGRAM FILES%\Internet Explorer\ie-explorer.exe am TCP Port 21000 um einen FTP Server zur Verfügung zu stellen.
– %PROGRAM FILES%\Internet Explorer\ie-explorer.exe am TCP Port 45120 um einen FTP Server zur Verfügung zu stellen.
– %PROGRAM FILES%\Internet Explorer\ie-explorer.exe am TCP Port 45180 um einen FTP Server zur Verfügung zu stellen.
– %PROGRAM FILES%\Internet Explorer\ie-explorer.exe am TCP Port 65000 um einen FTP Server zur Verfügung zu stellen.
– %PROGRAM FILES%\Internet Explorer\ie-explorer.exe am TCP Port 43958 um einen FTP Server zur Verfügung zu stellen.
– %PROGRAM FILES%\Internet Explorer\ie-explorer.exe am TCP Port 24 um einen FTP Server zur Verfügung zu stellen.
– %PROGRAM FILES%\Internet Explorer\ie-explorer.exe am TCP Port 145 um einen FTP Server zur Verfügung zu stellen.

Datei Einzelheiten Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit einem Laufzeitpacker gepackt.

Kurzfassung hier.

Beschreibung erstellt von Bogdan Iliuta am Wed, 29 Nov 2006 15:23 (GMT+1)
Beschreibung geändert von Andrei Ivanes am Mon, 04 Dec 2006 18:31 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück