TROJ_FAKEAV.BUTH

Wird möglicherweise von anderer Malware eingeschleust.

Diese Malware hat keine Verbreitungsroutine.

Diese Malware hat keine Backdoor-Routine.

Wenn ein Benutzer dem Kauf der Software zustimmt, wird eine Verbindung zu einem bestimmten URL hergestellt. Zeigt Benutzern gefälschte Warnmeldungen über eine Infektion an. Zeigt außerdem gefälschte Scanergebnisse des betroffenen Systems an. Nach Abschluss der Überprüfung werden die Benutzer aufgefordert, die Betrügersoftware zu kaufen. Wenn Benutzer sich zum Kauf der Betrügersoftware entscheiden, werden sie zu einer Website weitergeleitet, auf der sie nach sensiblen Daten gefragt werden, beispielsweise nach der Kreditkartennummer. Ein Fenster wird angezeigt, in dem die Benutzer dieses gefälschte Antivirenprogramm kaufen können.

Übertragungsdetails

Wird möglicherweise von der folgenden Malware eingeschleust:

• TROJ_DLOADR.BUTH

Installation

Schleust folgende Dateien/Komponenten ein:

• {All Users' Profile}\Application Data\pcdfdata\app.ico
• {All Users' Profile}\Application Data\pcdfdata\defs.bin - contains downloaded malware information
• {All Users' Profile}\Application Data\pcdfdata\support.ico
• {All Users' Profile}\Application Data\pcdfdata\uninst.ico
• %Desktop%\Security Defender.lnk
• %Start Menu%\Programs\Security Defender\Remove Security Defender.lnk
• %Start Menu%\Programs\Security Defender\Security Defender Help and Support.lnk
• %Start Menu%\Programs\Security Defender\Security Defender.lnk

(Hinweis: %Desktop% ist der Ordner 'Desktop' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Desktop unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Desktop unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Desktop unter Windows 2000, XP und Server 2003.. %Start Menu% ist der Ordner 'Startmenü' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü unter Windows NT und C:\Windows\Startmenü oder C:\Dokumente und Einstellungen\{Benutzername}\Startmenü unter Windows 2000, XP und Server 2003.)

Erstellt die folgenden Ordner:

• %Start Menu%\Programs\Security Defender

(Hinweis: %Start Menu% ist der Ordner 'Startmenü' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü unter Windows NT und C:\Windows\Startmenü oder C:\Dokumente und Einstellungen\{Benutzername}\Startmenü unter Windows 2000, XP und Server 2003.)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• Global\wdshield

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
pcdfsvc = "{All Users' Profile}\Application Data\pcdfdata\{TROJ_DLOADR.BUTH file name}.exe /min"

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
pcdfdata

HKEY_CLASSES_ROOT\.exe\DefaultIcon

HKEY_CLASSES_ROOT\.exe\shell

HKEY_CLASSES_ROOT\.exe\shell\
open

HKEY_CLASSES_ROOT\.exe\shell\
open\command

HKEY_CLASSES_ROOT\.exe\shell\
runas

HKEY_CLASSES_ROOT\.exe\shell\
runas\command

HKEY_CURRENT_USER\Software\Classes\
.exe

HKEY_CURRENT_USER\Software\Classes\
.exe\shell

HKEY_CURRENT_USER\Software\Classes\
.exe\shell\open

HKEY_CURRENT_USER\Software\Classes\
.exe\shell\open\
command

HKEY_CURRENT_USER\Software\Classes\
.exe\shell\runas

HKEY_CURRENT_USER\Software\Classes\
.exe\shell\runas\
command

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_CLASSES_ROOT\.exe\DefaultIcon
{Default} = "%1"

HKEY_CLASSES_ROOT\.exe\shell\
open\command
{Default} = ""{All Users' Profile}\Application Data\pcdfdata\{TROJ_DLOADR.BUTH file name}.exe" /ex "%1" %*"

HKEY_CLASSES_ROOT\.exe\shell\
open\command
IsolatedCommand = ""%1" %*"

HKEY_CLASSES_ROOT\.exe\shell\
runas\command
{Default} = ""%1" %*"

HKEY_CLASSES_ROOT\.exe\shell\
runas\command
IsolatedCommand = ""%1" %*"

HKEY_CURRENT_USER\Software\Classes\
.exe
{Default} = "4g"

HKEY_CURRENT_USER\Software\Classes\
.exe Content
Type = "application/x-m"

HKEY_CURRENT_USER\Software\Classes\
.exe\DefaultIcon
{Default} = "%1"

HKEY_CURRENT_USER\Software\Classes\
.exe\shell\open\
command
{Default} = ""{All Users' Profile}\Application Data\pcdfdata\{TROJ_DLOADR.BUTH file name}.exe" /ex "%1" %*"

HKEY_CURRENT_USER\Software\Classes\
.exe\shell\open\
command
IsolatedCommand = ""%1" %*"

HKEY_CURRENT_USER\Software\Classes\
.exe\shell\runas\
command
{Default} = ""%1" %*"

HKEY_CURRENT_USER\Software\Classes\
.exe\shell\runas\
command
IsolatedCommand = ""%1" %*"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
pcdfdata
DisplayName = "Security Defender"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
pcdfdata
InstallLocation = "{All Users' Profile}\Application Data\pcdfdata"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
pcdfdata
UninstallString = "{All Users' Profile}\Application Data\pcdfdata\{TROJ_DLOADR.BUTH file name}.exe /tout"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
pcdfdata
DisplayIcon = "{All Users' Profile}\Application Data\pcdfdata\{TROJ_DLOADR.BUTH file name}.exe,0"

Ändert die folgenden Registrierungseinträge:

HKEY_CLASSES_ROOT\.exe
{Default} = "4g"

(Note: The default value data of the said registry entry is exefile.)

HKEY_CLASSES_ROOT\.exe
Content Type = "application/x-m"

(Note: The default value data of the said registry entry is application/x-msdownload.)

Verbreitung

Diese Malware hat keine Verbreitungsroutine.

Backdoor-Routine

Diese Malware hat keine Backdoor-Routine.

Rogue-Antiviren-Routine

Zeigt die folgenden gefälschten Warnmeldungen an:

Wenn ein Benutzer dem Kauf der Software zustimmt, wird eine Verbindung zu folgendem URL hergestellt, um den Kauf fortzusetzen:

• https://{BLOCKED}.{BLOCKED}ng.com/billing/key/?uid={value}

Zeigt Benutzern gefälschte Warnmeldungen über eine Infektion an. Zeigt außerdem gefälschte Scanergebnisse des betroffenen Systems an. Nach Abschluss der Überprüfung werden die Benutzer aufgefordert, die Betrügersoftware zu kaufen. Wenn Benutzer sich zum Kauf der Betrügersoftware entscheiden, werden sie zur folgenden Website weitergeleitet und nach sensiblen Daten gefragt, beispielsweise nach der Kreditkartennummer:

• https://{BLOCKED}.{BLOCKED}ng.com/html/billing/?uid={value}

Benutzern wird das folgende Fenster zum Kauf des gefälschten Antivirenprogramms angezeigt:

Zeigt das folgende Fenster an, und gibt vor, das System zu überprüfen: