TR/Onlinegames.B - Trojan

Siehe auch Deutsch

Kurzfassung

Vollständig

Statistik

Name:	TR/Onlinegames.B
Entdeckt am:	19/05/2008
Art:	Trojan
In freier Wildbahn:	Ja
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig bis mittel
Schadenspotenzial:	Mittel
Statische Datei:	Nein
Dateigröße:	~100.000 Bytes
IVDF Version:	7.00.04.63 - Tue, 20 May 2008 08:38 (GMT+1)

General Verbreitungsmethode:
   • Gemappte Netzlaufwerke

Aliases:
   • Mcafee: PWS-LegMir.gen.k
   • Kaspersky: Trojan-PSW.Win32.OnLineGames.ngm
   • F-Secure: Trojan-PSW.Win32.OnLineGames.ngm
   • Grisoft: Worm/AutoRun.Y
   • Eset: Win32/PSW.OnLineGames.NLI
   • Bitdefender: Trojan.PWS.OnlineGames.WME

Ähnliche Erkennung:
   • TR/Onlinegames.B.%Nummer%

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Erstellt schädliche Dateien
   • Änderung an der Registry
   • Stiehlt Informationen

Dateien Eine Kopie seiner selbst wird hier erzeugt:
   • %SYSDIR%\amvo.exe

Es erstellt eine Kopie seiner selbst mit einem Dateinamen von einer Liste:
– An: %Laufwerk%\ Mit einem der folgenden Namen:
   • %zufällige Buchstabenkombination%.exe
   • %zufällige Buchstabenkombination%.bat
   • %zufällige Buchstabenkombination%.cmd
   • %zufällige Buchstabenkombination%.com

Es werden folgende Dateien erstellt:

– Dateien für temporären Gebrauch. Diese werden möglicherweise wieder gelöscht.
   • %TEMPDIR%\%zufällige Buchstabenkombination%.sys
   • %TEMPDIR%\%zufällige Buchstabenkombination%.dll

– %Laufwerk%\autorun.inf Diese Datei ist eine nicht virulente Textdatei mit folgendem Inhalt:
   •

– %TEMPDIR%\%zufällige Buchstabenkombination%.sys Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: RKIT/Vanti

– %TEMPDIR%\%zufällige Buchstabenkombination%.dll Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: TR/Crypt.NSPM.Gen

– %SYSDIR%\amvo0.dll Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: TR/Crypt.NSPM.Gen

Registry Der folgende Registryschlüssel wird hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • amva = %SYSDIR%\amvo.exe

Folgende Registryschlüssel werden geändert:

Verschiedenste Einstellungen des Explorers:
– [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
   Alter Wert:
   • Hidden = %Einstellungen des Benutzers%
   • ShowSuperHidden = %Einstellungen des Benutzers%
   Neuer Wert:
   • Hidden = 2
   • ShowSuperHidden = 0

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\
   Folder\Hidden\SHOWALL]
   Alter Wert:
   • CheckedValue = %Einstellungen des Benutzers%
   Neuer Wert:
   • CheckedValue = 0

Diebstahl Es wird versucht folgende Information zu klauen:

– Passwörter folgender Programme:
• Maple Story
• Lineage

Injektion – Es injiziert folgende Datei in einen Prozess: %SYSDIR%\amvo0.dll

    Prozessname:
   • explorer.exe

   War dies erfolgreich so beendet sich der Prozess der Malware wobei der injizierte Teil aktiv bleibt.

Datei Einzelheiten Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit einem Laufzeitpacker gepackt.

Kurzfassung hier.

Beschreibung erstellt von Andrei Gherman am Fri, 13 Jun 2008 12:07 (GMT+1)
Beschreibung geändert von Andrei Gherman am Fri, 13 Jun 2008 13:15 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück