TR/Dldr.Ebill.L - Trojan

Siehe auch Deutsch

Kurzfassung

Vollständig

Statistik

Name:	TR/Dldr.Ebill.L
Entdeckt am:	14/01/2009
Art:	Trojan
Nebenart:	Downloader
In freier Wildbahn:	Ja
Gemeldete Infektionen:	Mittel
Verbreitungspotenzial:	Mittel
Schadenspotenzial:	Mittel
Statische Datei:	Ja
Dateigröße:	1.007.616 Bytes
MD5 Prüfsumme:	268feb4d73cf742f85d098e254cd1e0D
IVDF Version:	7.01.01.115 - Wed, 14 Jan 2009 08:44 (GMT+1)

General Aliases:
   • Mcafee: PWS-Zbot trojan !!!
   • Kaspersky: Trojan-Spy.Win32.Zbot.kbi
   • Sophos: Mal/UnkPack-Fam
   • Panda: Trj/Sinowal.WJC
   • Eset: Win32/Spy.Zbot.EF trojan
   • Bitdefender: Trojan.SPY.Zbot.UV

Betriebsysteme:
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Lädt eine Dateien herunter
   • Erstellt eine potentiell gefährliche Datei
   • Setzt Sicherheitseinstellungen herunter
   • Änderung an der Registry
   • Stiehlt Informationen

Dateien Es wird eine Kopie seiner selbst erstellt. Desweiteren werden zufällige Bytes angehängt welche letztendlich dazu führen, dass sie nicht mehr mit der Originaldatei identisch ist:
   • %SYSDIR%\twex.exe

Es wird folgende Datei erstellt:

– Dateien für temporären Gebrauch. Diese werden möglicherweise wieder gelöscht.
   • %SYSDIR%\twain32\local.ds
   • %SYSDIR%\twain32\user.ds
   • %SYSDIR%\twain32\user.ds.lll

Es wird versucht folgende Datei herunterzuladen:

– Die URL ist folgende:
   • http://91.211.65.33/ferrari/**********
Zum Zeitpunkt der Analyse war diese Datei nicht verfügbar.

Registry Der folgende Registryschlüssel wird hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
   • "Userinit"="%Einstellungen des Benutzers%,%SYSDIR%\twex.exe,"

Folgender Registryschlüssel wird geändert:

Deaktiviere Windows XP Firewall:
– [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\
   FirewallPolicy\StandardProfile]
   Neuer Wert:
   • "EnableFirewall"=dword:0x0

Rootkit Technologie Versteckt folgendes:
– Eigene Datei

Eingesetzte Methode:
    • Unsichtbar von Windows API
    • Hook der Import Address Table (IAT)

Klinkt sich in folgende API-Funktionen ein:
   • ntdll.dll -> LdrGetProcedureAddress
   • ntdll.dll -> LdrLoadDll
   • ntdll.dll -> NtCreateThread
   • ntdll.dll -> NtQueryDirectoryFile
   • user32.dll -> TranslateMessage
   • user32.dll -> GetClipboardData

Datei Einzelheiten Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit einem Laufzeitpacker gepackt.

Kurzfassung hier.

Beschreibung erstellt von Petre Galan am Tue, 13 Oct 2009 13:45 (GMT+1)
Beschreibung geändert von Andrei Ivanes am Thu, 15 Oct 2009 10:31 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück