TR/Agent.aoy.1 - Trojan

Siehe auch Deutsch

Kurzfassung

Vollständig

Statistik

Name:	TR/Agent.aoy.1
Entdeckt am:	14/06/2007
Art:	Trojan
In freier Wildbahn:	Nein
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig
Schadenspotenzial:	Mittel
Statische Datei:	Ja
Dateigröße:	122.900 Bytes
MD5 Prüfsumme:	0C32fc9d6fd3daf607a71630dfc22dbb
VDF Version:	6.39.00.13 - Thu, 14 Jun 2007 10:20 (GMT+1)
IVDF Version:	6.39.00.13 - Thu, 14 Jun 2007 10:20 (GMT+1)

General Verbreitungsmethode:
   • Keine eigene Verbreitungsroutine

Aliases:
   • Mcafee: AdClicker-FK
   • Kaspersky: Trojan.Win32.Agent.aoy
   • F-Secure: Trojan:W32/Fotomoto.A
   • Sophos: Troj/Agent-FXL
   • Panda: Trj/Downloader.OZB
   • Eset: Win32/Adware.Ezula

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Setzt Sicherheitseinstellungen herunter
   • Änderung an der Registry
   • Stiehlt Informationen
   • Ermöglicht unbefugten Zugriff auf den Computer

Dateien Es werden folgende Dateien erstellt:

– Dateien für temporären Gebrauch. Diese werden möglicherweise wieder gelöscht.
• %tempdir%\s1d4
• %tempdir%\s1d4.1

Registry Die folgenden Registryschlüssel werden hinzugefügt um den Service nach einem Neustart des Systems erneut zu laden.

– [HKLM\SYSTEM\CurrentControlSet\Services\DomainService]
   • "Type"=dword:00000010
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000000
   • "ImagePath"="%Verzeichnis in dem die Malware ausgeführt wurde%\%ausgeführte Datei% /service
   • "DisplayName"="DomainService"
   • "ObjectName"="LocalSystem"
   • "FailureActions"=%Hex Werte%
   • "Description"="DomainService"

Der Wert des folgenden Registry keys wird gelöscht:

– HKCU\Software\Microsoft\Windows\CurrentVersion\Run
   • DDC

Um die Windows XP Firewall zu umgehen wird folgender Eintrag erstellt:

– [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\
   FirewallPolicy\StandardProfile\AuthorizedApplications\List]
   • "%Verzeichnis in dem die Malware ausgeführt
      wurde%\%ausgeführte Datei%"="%Verzeichnis in dem die
      Malware ausgeführt wurde%\%ausgeführte Datei%"

Folgender Registryschlüssel wird hinzugefügt:

– [HKLM\Software\Microsoft\DomainService]
   • "internal_affiliate_id"=%Hexadezimale Zahl%
   • "db_number"=%Hexadezimale Zahl%
   • "user_id"=%Hexadezimale Zahl%
   • "installation_id"=%Hexadezimale Zahl%
   • "next_url_post_time"=%aktuelle Zeit%

Folgender Registryschlüssel wird geändert:

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
   Alter Wert:
   • "SFCDisable"=dword:00000000
   Neuer Wert:
   • "SFCDisable"=dword:00000004

Hintertür Kontaktiert Server:
Einer der folgenden:
   • http://23.244.141.185/**********/install.php
   • http://24.244.141.185/**********/heartbeat.php

Hierdurch können Informationen gesendet und Hintertürfunktionen bereitgestellt werden. Dies geschieht mittels einer HTTP GET Anfrage an ein PHP Script.

Sende Informationen über:
    • Aktueller Malware Status

Möglichkeiten der Fernkontrolle:
    • Datei herunterladen
    • Besuch einer Webseite

Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in MS Visual C++ geschrieben.

Kurzfassung hier.

Beschreibung erstellt von Alexandru Dinu am Fri, 06 Jul 2007 13:01 (GMT+1)
Beschreibung geändert von Alexandru Dinu am Fri, 06 Jul 2007 16:16 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück