DR/Cinmus.dtk - Dropper

Siehe auch Deutsch

Kurzfassung

Vollständig

Statistik

Name:	DR/Cinmus.dtk
Entdeckt am:	12/12/2008
Art:	Dropper
In freier Wildbahn:	Nein
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig
Schadenspotenzial:	Niedrig bis mittel
Statische Datei:	Ja
Dateigröße:	112.140 Bytes
MD5 Prüfsumme:	a67931fcd5c27b9d94a7b05be2003c6f
IVDF Version:	7.01.00.225 - Fri, 12 Dec 2008 09:05 (GMT+1)

General Verbreitungsmethode:
   • Keine eigene Verbreitungsroutine

Aliases:
   • Kaspersky: not-a-virus:AdWare.Win32.Cinmus.adhz
   • F-Secure: AdWare.Win32.Cinmus.adhz
   • Sophos: Troj/Cinmus-H
   • Grisoft: Adload_r.EW
   • Eset: probably a variant of Win32/Adware.Cinmus

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Erstellt eine potentiell gefährliche Datei
   • Änderung an der Registry

Dateien Die anfänglich ausgeführte Kopie der Malware wird gelöscht.

Es wird folgende Datei erstellt:

– %WINDIR%\Rose\pbhealth.dll Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: TR/Cinmus.AQ

Registry Der folgende Registryschlüssel wird hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

– [HKCR\CLSID\{285AB8C6-FB22-4D17-8834-064E2BA0A6F0}\InprocServer32]
   • "(Default)"="%WINDIR%\Rose\pbhealth.dll"
   • "ThreadingModel"="Apartment"

Es wird ein browser helper object (BHO) registriert indem folgender key hinzugefügt wird:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
   Browser Helper Objects\{285AB8C6-FB22-4D17-8834-064E2BA0A6F0}]

Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in MS Visual C++ geschrieben.

Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit einem Laufzeitpacker gepackt.

Kurzfassung hier.

Beschreibung erstellt von Thomas Wegele am Thu, 18 Dec 2008 10:42 (GMT+1)
Beschreibung geändert von Thomas Wegele am Thu, 18 Dec 2008 10:48 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück