TR/Dldr.iBill.AR - Trojan

Siehe auch Deutsch

Kurzfassung

Vollständig

Statistik

Name:	TR/Dldr.iBill.AR
Entdeckt am:	09/05/2007
Art:	Trojan
In freier Wildbahn:	Nein
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig
Schadenspotenzial:	Niedrig bis mittel
Statische Datei:	Ja
Dateigröße:	21.504 Bytes
MD5 Prüfsumme:	7b3dc8ed3a14892fd2ac850B0F415496
VDF Version:	6.38.01.110 - Wed, 09 May 2007 08:14 (GMT+1)
IVDF Version:	6.38.01.116 - Wed, 09 May 2007 08:14 (GMT+1)

General Verbreitungsmethode:
   • Keine eigene Verbreitungsroutine

Aliases:
   • Mcafee: Downloader-AAP trojan
   • Kaspersky: Trojan-Downloader.Win32.Nurech.bp
   • F-Secure: Trojan-Downloader.Win32.Nurech.bp

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Lädt Dateien herunter
   • Lädt schädliche Dateien herunter
   • Erstellt eine Datei
   • Änderung an der Registry

Dateien Eine Kopie seiner selbst wird hier erzeugt:
• %SYSDIR%\isxa.exe

Es wird folgende Datei erstellt:

– %SYSDIR%\drivers\c656.tx Diese Datei ist eine nicht virulente Textdatei mit folgendem Inhalt:
• %von der Malware genutzte Internet-Ressource%

Registry Der folgende Registryschlüssel wird hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

– [HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN]
• isxa = isxa.exe

Folgender Registryschlüssel wird hinzugefügt:

– [HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION]
• TTT = %Hexadezimale Zahl%

Hintertür Kontaktiert Server:
Alle der folgenden:
   • http://flusentiere.de/images/counter/**********
   • http://www.renatekoch.com/html/**********
   • http://www.berkili-maschinen.de/img/**********
   • http://adolf-seeger.de/rs/images/**********
   • http://thaibaa.org/files/**********
   • http://thaifisherfolk.com/Doc/**********
   • http://alsiroyal.de/img/suche/**********
   • http://ganzheitliche-kurse.de/RUBRIKEN/**********

Sobald die Verbindung hergestellt ist wird eine weitere Liste mit Servern abgerufen.
Hierdurch werden Hintertürfunktionen bereitgestellt. Die Antwort der Servers wird in folgende Datei geschrieben: %SYSDIR%\drivers\c656.tx

Möglichkeiten der Fernkontrolle:
    • Datei herunterladen

Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in MS Visual C++ geschrieben.

Kurzfassung hier.

Beschreibung erstellt von Andrei Gherman am Thu, 31 May 2007 09:43 (GMT+1)
Beschreibung geändert von Andrei Gherman am Thu, 31 May 2007 09:44 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück