Analisado por: Roland Marco Dela Paz   
 

MonitoringTool:Win32/LanAgent (Microsoft)

 Plataforma:

Windows 2000, Windows XP, Windows Server 2003

 Classificao do risco total:
 infecção relatada:
 Impacto no sistema: :
 Exposição das informações:
Baixo
Medium
Alto
Crítico

  • Tipo de grayware:
    Hacking Tool

  • Destrutivo:
    Não

  • Criptografado:
    Não

  • In the Wild:
    Sim

  Visão geral

Wird möglicherweise manuell von einem Benutzer installiert.

  Detalhes técnicos

Tipo de compactação: 4,910,592 bytes
Tipo de arquivo: PE
Residente na memória: Não
Data de recebimento das amostras iniciais: 11 maio 2012

Übertragungsdetails

Wird möglicherweise manuell von einem Benutzer installiert.

Installation

Schleust folgende Dateien/Komponenten ein:

  • %User Profile%\Application Data\Microsoft\Installer\{B892B9BB-6FF7-431B-869A-25538F4B4BC1}\ARPPRODUCTICON.exe
  • %System%\sysuser\ChooseAdapter.exe
  • %System%\sysuser\CompShut.dat
  • %System%\sysuser\LOG\agent(date 18-40-36).xmd
  • %System%\sysuser\LOG\Service(date 18-40-35).xmd
  • %System%\sysuser\LOG\sniff(date 18-40-36).xmd
  • %System%\sysuser\LOG\sniff(date 18-43-00).xmd
  • %System%\sysuser\LOG\sniff(date 18-47-07).xmd
  • %System%\sysuser\NetMon.ltx
  • %System%\sysuser\settingsXML.dat
  • %System%\sysuser\svchost.exe
  • %System%\sysuser\sys.dat
  • %System%\sysuser\sys.dll
  • %System%\sysuser\system.exe
  • %System%\sysuser\Uninstall_pcap.exe
  • %System%\sysuser\wssfcmai.exe
  • %System%\WanPacket.dll

(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.. %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Erstellt die folgenden Ordner:

  • %User Profile%\Application Data\Microsoft\Installer
  • %User Profile%\Application Data\Microsoft\Installer\{B892B9BB-6FF7-431B-869A-25538F4B4BC1}
  • %System%\sysuser
  • %System%\sysuser\caped
  • %System%\sysuser\LOG

(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.. %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_CURRENT_USER\Software\Microsoft\
Installer

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
FileExts\.msi

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{B892B9BB-6FF7-431B-869A-25538F4B4BC1}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\MSSystem

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Installer\
UpgradeCodes\847D7DD3F49289B4B9D53BFD28438101

Fügt die folgenden Registrierungseinträge als Teil der Installationsroutine hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Installer\
Folders
%System%\sysuser\ = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Installer\
Folders
%System%\sysuser\Logs\ = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Installer\
Folders
%User Profile%\Application Data\Microsoft\Installer\{B892B9BB-6FF7-431B-869A-25538F4B4BC1} =

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Installer\
Folders
%User Profile%\Application Data\Microsoft\Installer =

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDlls
%System%\sysuser\Uninstall_pcap.exe = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDlls
%System%\sysuser\Install_pcap.exe = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDlls
%System%\sysuser\AdapterSelector.exe = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDlls
%System%\sysuser\system.exe = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDlls
%System%\sysuser\svchost.exe = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDlls
%System%\sysuser\SetRights.exe = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDlls
%System%\sysuser\ChooseAdapter.exe = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDlls
%System%\sysuser\wssfcmai.exe = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDlls
%System%\sysuser\sys.dll = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDlls
%System%\wpcap.dll = "2"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDlls
%System%\Packet.dll = "2"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDlls
%System%\WanPacket.dll = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDlls
%System%\pthreadVC.dll = "2"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%System%\sysuser\system.exe = "%System%\sysuser\system.exe:*:Enabled:SYSTEM"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
47658:TCP = "47658:TCP:*:Enabled:SYSTEM_TCP47658"

Ändert die folgenden Registrierungsschlüssel/-einträge während der eigenen Installation:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Print\
Printers\Microsoft Office Document Image Writer
Attributes = "101"

(Note: The default value data of the said registry entry is 0.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Print\
Printers\Microsoft XPS Document Writer
Attributes = "141"

(Note: The default value data of the said registry entry is 40.)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Print\Printers\
Microsoft Office Document Image Writer
Attributes = "101"

(Note: The default value data of the said registry entry is 0.)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Print\Printers\
Microsoft XPS Document Writer
Attributes = "141"

(Note: The default value data of the said registry entry is 40.)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Epoch
Epoch = "84"

(Note: The default value data of the said registry entry is 82.)