TR/Dldr.Agent.11776 - Trojan

Siehe auch Deutsch

Kurzfassung

Vollständig

Statistik

Name:	TR/Dldr.Agent.11776
Entdeckt am:	26/05/2006
Art:	Trojan
In freier Wildbahn:	Nein
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig
Schadenspotenzial:	Niedrig bis mittel
Statische Datei:	Nein
Dateigröße:	11.776 Bytes
VDF Version:	6.34.01.143 - Fri, 26 May 2006 13:23 (GMT+1)
IVDF Version:	6.34.01.148 - Sat, 27 May 2006 18:53 (GMT+1)

General Verbreitungsmethode:
   • Keine eigene Verbreitungsroutine

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Lädt schädliche Dateien herunter
   • Änderung an der Registry
   • Ermöglicht unbefugten Zugriff auf den Computer

Dateien Es erstellt Kopien seiner selbst mit Dateinamen von Listen:
– An: C:\WINDOWS Mit einem der folgenden Namen:
   • smanager.7.exe
   • avp.exe

– An: %WINDIR%\System32 Mit einem der folgenden Namen:
   • v7.exe

Registry Einer der folgenden Werte wird dem Registry key hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • VaCtrls="v7"
   • avp="%WINDIR%\avp.exe"
   • SManager="smanager.7.exe"

Folgender Registryschlüssel wird hinzugefügt:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion]
   • d="%aktuelles Datum%"
   • s=%Hexadezimale Zahl%
   • f="%von der Malware genutzte Internet-Ressource%"

Hintertür Kontaktiert Server:
Einer der folgenden:
   • http://zero.xujace.com/**********
   • http://zero.allgreathost.com/**********
   • http://zero.bestmanage2.org/**********
   • http://zero.sisdotnet.com/**********
   • http://zero.bestmanage3.org/**********
   • http://c.bestmanage.org/**********
   • http://d.bestmanage.org/**********

Hierdurch werden Hintertürfunktionen bereitgestellt. Dies geschieht mittels einer HTTP GET Anfrage an ein PHP Script.

Möglichkeiten der Fernkontrolle:
    • Datei herunterladen

Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in MS Visual C++ geschrieben.

Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit folgendem Laufzeitpacker gepackt:
• PECompact

Kurzfassung hier.

Beschreibung erstellt von Ernest Szocs am Tue, 19 Jun 2007 08:28 (GMT+1)
Beschreibung geändert von Ernest Szocs am Tue, 19 Jun 2007 12:18 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück