TR/Drop.Agent.agla - Trojan

Siehe auch Deutsch

Kurzfassung

Vollständig

Statistik

Name:	TR/Drop.Agent.agla
Entdeckt am:	26/02/2009
Art:	Trojan
In freier Wildbahn:	Ja
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig
Schadenspotenzial:	Hoch
Statische Datei:	Ja
Dateigröße:	172.207 Bytes
MD5 Prüfsumme:	d6614007059d24844269db6ef460e4d9
IVDF Version:	7.01.01.239 - Fri, 06 Feb 2009 17:59 (GMT+1)

General Aliases:
   • Symantec: W32.SillyFDC
   • Sophos: Mal/Generic-A
   • Panda: W32/Lineage.KYR
   • Eset: Win32/PSW.OnLineGames.NNU

Betriebsysteme:
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Lädt Dateien herunter
   • Erstellt schädliche Dateien
   • Änderung an der Registry

Dateien Kopien seiner selbst werden hier erzeugt:
   • %SYSDIR%\kva8wr.exe
   • %Laufwerk%\jbele1.com

Folgende Dateien werden umbenannt:

    • %Verzeichnis in dem die Malware ausgeführt wurde% nach c:\%existierende Datei oder Verzeichnis%.vcd

Die anfänglich ausgeführte Kopie der Malware wird gelöscht.

Folgende Datei wird gelöscht:
   • %SYSDIR%\drivers\cdaudio.sys

Eventuell könnte folgende Datei beschädigt werden:
   • %SYSDIR%\drivers\cdaudio.sys

Es werden folgende Dateien erstellt:

– %Laufwerk%\autorun.inf Diese Datei ist eine nicht virulente Textdatei mit folgendem Inhalt:
   • %Programmcode, der Malware startet%

– %SYSDIR%\drivers\klif.sys Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: Rkit/Agent.4160

– %SYSDIR%\bgotrtu0.dll Erkannt als: TR/Vundo

– %SYSDIR%\uweyiwe0.dll Erkannt als: TR/Crypt.XPACK.Gen

– %Laufwerk%\lot.exe
– %SYSDIR%\ahnfgss0.dll
– %SYSDIR%\ahnsbsb.exe
– %SYSDIR%\ahnxsds0.dll

Es wird versucht die folgenden Dateien herunterzuladen:

– Die URL ist folgende:
   • http://hjkio.com/xhg2/**********

– Die URL ist folgende:
   • http://kioytrfd.com/xhg2/**********

Registry Einer der folgenden Werte wird dem Registry key hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "kvasoft"="%SYSDIR%\kva8wr.exe"

Die folgenden Registryschlüssel werden hinzugefügt um den Service nach einem Neustart des Systems erneut zu laden.

– [HKLM\SOFTWARE\System\CurrentControlSet\Services\KAVsys]
   • "Type"=dword:00000001
      "Start"=dword:00000001
      "ErrorControl"=dword:00000001
      "ImagePath"="\??\%SYSDIR%\drivers\klif.sys"
      "DisplayName"="KAVsys"

Folgende Registryschlüssel werden geändert:

Verschiedenste Einstellungen des Explorers:
– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
   Neuer Wert:
   • "NoDriveTypeAutoRun"=dword:00000091

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\
   Folder\Hidden\SHOWALL]
   Neuer Wert:
   • "CheckedValue"=dword:00000000

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
   Neuer Wert:
   • "ShowSuperHidden"=dword:00000001
     "Hidden"=dword:00000002

Injektion – Es injiziert folgende Datei in einen Prozess: %SYSDIR%\uweyiwe0.dll

– Es injiziert eine Prozess-Überwachungs-Routine in einen Prozess.

Prozessname:
• explorer.exe

Rootkit Technologie Versteckt folgendes:
– Eigener Prozess

Eingesetzte Methode:
    • Unsichtbar von Master File Table (MFT)
    • Unsichtbar von Windows API
    • Unsichtbar von Interrupt Descriptor Table (IDT)

Kurzfassung hier.

Beschreibung erstellt von Petre Galan am Mon, 06 Jul 2009 21:00 (GMT+1)
Beschreibung geändert von Petre Galan am Tue, 18 Aug 2009 12:00 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück