TROJ_FAKEAV.DZY

Data de publicação: 09 outubro 2012

Analisado por: Sabrina Lei Sioting

Trojan.Win32.FakeAV.ecva (Kaspersky); Generic FakeAlert!qx (McAfee); Rogue:Win32/FakeRean (Microsoft)

Plataforma:

Windows 2000, Windows XP, Windows Server 2003

Classificao do risco total:

Potencial de dano:

Potencial de distribuição:

infecção relatada:

Baixo

Medium

Alto

Crítico

Tipo de grayware:
Trojan
Destrutivo:
Não
Criptografado:
Não
In the Wild:
Sim

Visão geral

Wird möglicherweise von anderer Malware/Grayware/Spyware von externen Sites heruntergeladen.

Leitet Dateien durch Hinzufügen bestimmter Registrierungseinträge um. Dadurch kann diese Malware ausgeführt werden, auch wenn andere Anwendungen geöffnet sind.

Ändert bestimmte Registrierungseinträge, um Funktionen des Security Centers zu deaktivieren. Dadurch kann diese Malware ihre Routinen unentdeckt ausführen. Umgeht die Windows Firewall. Dadurch kann diese Malware ihre geplante Routine ausführen, ohne von einer installierten Firewall entdeckt zu werden.

Stiehlt bestimmte Daten vom System und/oder dem Benutzer.

Zeigt gefälschte Warnungen vor Infektion an. Zeigt ein gefälschtes Suchergebnisse bezüglich des betroffenen Systems an. Nach Abschluss der Suche wird der Benutzer zum Kauf des Produkts aufgefordert. Wenn sich Benutzer zum Kauf des betrügerischen Produkts entschließen, werden sie auf eine Website geleitet, auf der vertrauliche Daten wie beispielsweise Kreditkartennummern erfragt werden.

Detalhes técnicos

Tipo de compactação: 356,352 bytes

Tipo de arquivo: EXE

Residente na memória: Sim

Data de recebimento das amostras iniciais: 30 julho 2011

Carga útil: Displays message/message boxes, , Steals information, Bypasses Windows Firewall

Übertragungsdetails

Wird möglicherweise von anderer Malware/Grayware/Spyware von externen Sites heruntergeladen.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

%Application Data%\{random filename}.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Schleust folgende nicht bösartigen Dateien ein:

%System Root%\Documents and Settings\All Users\Application Data\{random file name}
%Application Data%\{random file name}
%User Temp%\{random file name}
%User Profile%\Templates\{random file name}
%Application Data%\GDIPFONTCACHEV1.DAT - a non malicious file used by Microsoft Windows as a cache for storing font data

(Hinweis: %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.. %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.. %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

ir4cnxm3oi333
{C9A34C77-4D69-45EC-A07D-83242376045D}

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random numbers} = %Application Data%\{random filename}.exe

Leitet Dateien um, damit sie beim Zugriff auf bestimmte Dateitypen ausgeführt wird, indem sie die folgenden Einträge hinzufügt:

HKEY_CLASSES_ROOT\.exe\shell\
open\command
@ = ""%Application Data%\{random filename}.exe" -a "%1" %*"

HKEY_CURRENT_USER\Software\Classes\
.exe\shell\open\
command
@ = ""%Application Data%\{random filename}.exe" -a "%1" %*"

HKEY_CURRENT_USER\Software\Classes\
exefile\shell\open\
command
@ = ""%Application Data%\{random filename}.exe" -a "%1" %*"

HKEY_CLASSES_ROOT\exefile\shell\
open\command
{default} = ""%Application Data%\{random filename}.exe" -a "%1" %*"

Andere Systemänderungen

Ändert die folgenden Registrierungsschlüssel/-einträge während der eigenen Installation:

HKEY_CLASSES_ROOT\exefile\shell\
open\command
{default} = ""%Application Data%\{random filename}.exe" -a "%1" %*"

(Note: The default value data of the said registry entry is {default} ""%1" %*" .)

HKEY_LOCAL_MACHINE\SOFTWARE\Clients\
StartMenuInternet\FIREFOX.EXE\shell\
open\command
{default} = ""%Application Data%\{random filename}.exe" -a "%Program Files%\Mozilla Firefox\firefox.exe""

(Note: The default value data of the said registry entry is "%Program Files%\Mozilla Firefox\firefox.exe".)

HKEY_LOCAL_MACHINE\SOFTWARE\Clients\
StartMenuInternet\FIREFOX.EXE\shell\
safemode\command
{default} = ""%Application Data%\{random filename}.exe" -a "%Program Files%\Mozilla Firefox\firefox.exe" -safe-mode"

(Note: The default value data of the said registry entry is ""%Program Files%\Mozilla Firefox\firefox.exe" -safe-mode".)

HKEY_LOCAL_MACHINE\SOFTWARE\Clients\
StartMenuInternet\IEXPLORE.EXE\shell\
open\command
{default} = ""%Application Data%\{random filename}.exe" -a "%Program Files%\Internet Explorer\iexplore.exe""

(Note: The default value data of the said registry entry is ""%Program Files%\Internet Explorer\iexplore.exe"".)

Ändert die folgenden Registrierungseinträge, um Funktionen des Security Centers zu deaktivieren:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusDisableNotify = 1