TR/Delf.own - Trojan

Siehe auch Deutsch

Kurzfassung

Vollständig

Statistik

Name:	TR/Delf.own
Entdeckt am:	19/02/2008
Art:	Trojan
In freier Wildbahn:	Ja
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig
Schadenspotenzial:	Mittel
Statische Datei:	Ja
Dateigröße:	753.664 Bytes
MD5 Prüfsumme:	2ca0c132a7ae4c1209c31286acbd507c
IVDF Version:	7.00.02.156

General Verbreitungsmethode:
   • Keine eigene Verbreitungsroutine

Aliases:
   • Kaspersky: Trojan.Win32.Agent.ftz
   • F-Secure: Trojan.Win32.Agent.ftz
   • Sophos: Troj/Agent-GPY
   • Grisoft: BackDoor.Delf.BHF
   • Eset: Win32/Agent.ECD
   • Bitdefender: Worm.P2P.Agent.N

Betriebsysteme:
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Änderung an der Registry
   • Ermöglicht unbefugten Zugriff auf den Computer

Dateien Eine Kopie seiner selbst wird hier erzeugt:
• %SYSDIR%\NTSpool.exe

Registry Der folgende Registryschlüssel wird hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\
   Run]
   • NTSpool = NTSpool.exe

Folgende Registryschlüssel werden geändert:

– [HKLM\Software\Microsoft\RFC1156Agent\CurrentVersion\Parameters]
   Neuer Wert:
   • TrapPollTimeMilliSecs = dword:00003a98

– [HKLM\SOFTWARE\Licenses]
   Neuer Wert:
   • {K7C0DB872A3F777C0} = %Hex Werte%
   • {I29A5EA887C231048} = %Hex Werte%

IRC Um Systeminformationen zu übermitteln und Fernsteuerung sicherzustellen wird eine Verbindung mit folgendem IRC Server hergestellt:

Server: **********.whyI.org
Port: 2002
Passwort des Servers: _f34kyfr1ce_
Channel: #P2P3#
Nickname: [00|USA|%Nummer%]
Passwort: _f34kyfr1ce_

Injektion – Es injiziert sich in einen Prozess.

    Prozessname:
   • svchost.exe

   War dies erfolgreich so beendet sich der Prozess der Malware wobei der injizierte Teil aktiv bleibt.

Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in Delphi geschrieben.

Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit einem Laufzeitpacker gepackt.

Kurzfassung hier.

Beschreibung erstellt von Andrei Gherman am Fri, 18 Apr 2008 11:31 (GMT+1)
Beschreibung geändert von Andrei Gherman am Fri, 18 Apr 2008 12:10 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück