Analyse von: Francis Xavier Antazo   
 

Trojan:Win32/Dynamer!ac (Microsoft); Win32/Agent.XWU (ESET); Trojan.Win32.Scar.lmvo (Kaspersky); Backdoor.Nidiran!g1 (Symantec);

 Plattform:

Windows

 Risikobewertung (gesamt):
 Schadenspotenzial::
 Verteilungspotenzial::
 reportedInfection:
 Trend Micro Lösungen:
Niedrig
Mittel
Hoch
Kritisch

  • Malware-Typ:
    Backdoor

  • Zerstrerisch?:
    Nein

  • Verschlsselt?:
     

  • In the wild::
    Ja

  Überblick


  Technische Details

Dateigröße: 62464 bytes
Dateityp: DLL
Speicherresiden: Ja
Erste Muster erhalten am: 17 September 2015

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

  • %System%\SPmsamger.dll

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Autostart-Technik

Es handelt sich um eine .DLL-Datei, die die folgenden Dienste hinzufügt:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\msamger

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\msamger
Type = "32"

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\msamger
Start = "2"

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\msamger
ObjectName = "LocalSystem"

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\msamger
ErrorControl = "0"

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\msamger
DisplayName = "Microsoft Security Accounts Manager"

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\msamger
ImagePath = "%SystemRoot%\System32\svchost.exe -k msamger"

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\msamger
Description = "Support Security Accounts Manager For Micorosft Windows. If this service is stopped, any services that depended on it will fail to start"

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\msamger\Parameters
ServiceDll = "%System%\SPmsamger.dll"

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\msamger\Parameters
ServiceMain = "DllRegisterEntry"

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\msamger\Security
Security = "(hex values)"

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\msamger\Enum
0 = "Root\LEGACY_MSAMGER\0000"

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\msamger\Enum
Count = "1"

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\msamger\Enum
NextInstance = "1"