BDS/Hupigon.ablm - Backdoor Server

Siehe auch Deutsch

Kurzfassung

Vollständig

Statistik

Name:	BDS/Hupigon.ablm
Entdeckt am:	11/12/2008
Art:	Backdoor Server
In freier Wildbahn:	Ja
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig
Schadenspotenzial:	Mittel
Statische Datei:	Ja
Dateigröße:	378.552 Bytes
MD5 Prüfsumme:	2ecbac909b205b5f0d7bd10cb3daccb9
IVDF Version:	7.01.00.224 - Thu, 11 Dec 2008 19:13 (GMT+1)

General Verbreitungsmethode:
   • Keine eigene Verbreitungsroutine

Aliases:
   • Kaspersky: Trojan.Win32.Pakes.mfa
   • F-Secure: Trojan.Win32.Pakes.mfa

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Änderung an der Registry
   • Ermöglicht unbefugten Zugriff auf den Computer

Dateien Eine Kopie seiner selbst wird hier erzeugt:
• %WINDIR%\Norton_win32.exe

Es wird folgende Datei erstellt:

– %TEMPDIR%\%zufällige Buchstabenkombination% Des weiteren wird sie ausgeführt nachdem sie vollständig erstellt wurde. Diese Batchdatei wird genutzt um eine Datei zu löschen.

Registry Der folgende Registryschlüssel wird hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

– [HKLM\SYSTEM\CurrentControlSet\Services\Norton_win32]
   • "Type"=dword:00000110
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000000
   • "ImagePath"=%WINDIR%\Norton_win32.exe
   • "DisplayName"="Norton_win32"
   • "ObjectName"="LocalSystem"
   • "Description"="%chinesischer Text%"

Hintertür Kontaktiert Server:
Den folgenden:
• 11826.**********helper.com:1588

Hierdurch können Informationen gesendet und Hintertürfunktionen bereitgestellt werden.

Injektion – Es injiziert sich in einen Prozess.

Prozessname:
• svchost.exe

Diverses Anti Debugging
Es prüft ob Programme aktiv sind welche eine der folgenden Zeichenketten enthalten:
   • \\.\SICE
   • \\.\SIWVID
   • \\.\NTICE
   • \\.\REGSYS
   • \\.\REGVXG
   • \\.\FILEVXG
   • \\.\FILEM
   • \\.\TRW
   • \\.\ICEEXT
   • OLLYDBG
   • FileMonClass

War dies erfolgreich wird die Malware sofort beendet.

Datei Einzelheiten Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit einem Laufzeitpacker gepackt.

Kurzfassung hier.

Beschreibung erstellt von Thomas Wegele am Thu, 18 Dec 2008 10:56 (GMT+1)
Beschreibung geändert von Thomas Wegele am Thu, 18 Dec 2008 11:15 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück