PE_DOWN.D-O

Wird möglicherweise von anderer Malware eingeschleust. Zum Zeitpunkt der Fertigstellung dieses Dokuments sind die erwähnten Sites jedoch nicht zugänglich.

Löscht bestimmte Dateitypen, so dass Programme und Anwendungen nicht ordnungsgemäß ausgeführt werden.

Infiziert dadurch, dass der eigene Code an die Zielhostdateien angehängt wird.

Schleust Kopien von sich selbst in alle Wechsellaufwerke ein. Legt eine AUTORUN.INF-Datei ab, um automatisch die eingeschleusten Kopien auszuführen, wenn ein Benutzer auf die Laufwerke eines betroffenen Systems zugreift.

Löscht sich nach der Ausführung selbst.

Übertragungsdetails

Wird möglicherweise von der folgenden Malware eingeschleust:

• PE_DOWN.D

Zum Zeitpunkt der Fertigstellung dieses Dokuments sind die erwähnten Sites jedoch nicht zugänglich.

Andere Systemänderungen

Löscht die folgenden Dateitypen:

• %System%\appmgmts.dll

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Löscht die folgenden Registrierungsschlüssel:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\AppMgmt

Dateiinfektion

Infiziert die folgenden Dateitypen:

• EXE

Infiziert dadurch, dass der eigene Code an die Zielhostdateien angehängt wird.

Verbreitung

Erstellt den folgenden Ordner auf allen Festplatten- und Wechsellaufwerken:

• recycle.{645FF040-5081-101B-9F08-00AA002F954E}

Schleust Kopien von sich selbst in alle Wechsellaufwerke ein.

Legt eine AUTORUN.INF-Datei ab, um automatisch die eingeschleusten Kopien auszuführen, wenn ein Benutzer auf die Laufwerke eines betroffenen Systems zugreift.

Die besagte .INF-Datei enthält die folgenden Zeichenfolgen:

[autorun]
OPEN=recycle.{645FF040-5081-101B-9F08-00AA002F954E}\uninstall.exe
shell\open=´ò¿ª(&O)
shell\open\Command=recycle.{645FF040-5081-101B-9F08-00AA002F954E}\uninstall.exe Show
shell\open\Default=1//
shell\explore=×ÊÔ´¹ÜÀíÆ÷(&X)
shell\explore\Command=recycle.{645FF040-5081-101B-9F08-00AA002F954E}\uninstall.exe Show

Einschleusungsroutine

Schleust die folgenden Dateien ein:

• %System%\dmutilio.dll - detected as TROJ_HORST.JY

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Andere Details

Ausgehend von der Analyse des Codes verfügt die Malware über die folgenden Fähigkeiten:

• It also creates a registry entry for certain application names located under the following key:
  

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT
  
• CurrentVersion\Image File Execution Options

• The created entry contains the following data value:
  

• Debugger = "ntsd"

• Affected application keys are as follows:
  

• • 360SoftMgrSvc.exe
  • 360hotfix.exe
  • 360rp.exe
  • 360rpt.exe
  • 360safe.exe
  • 360safebox.exe
  • 360sd.exe
  • 360se.exe
  • 360speedld.exe
  • 360tray.exe
  • AvastUI.exe
  • CCenter.exe
  • FilMsg.exe
  • KVMonXP.exe
  • KVMonXP.kxp
  • KVSrvXP.exe
  • MPMon.exe
  • MPSVC.exe
  • MPSVC1.exe
  • MPSVC2.exe
  • McNASvc.exe
  • McProxy.exe
  • McSACore.exe
  • Mcagent.exe
  • Mcods.exe
  • Mcshield.exe
  • MpfSrv.exe
  • RavMonD.exe
  • RavTask.exe
  • RsAgent.exe
  • RsTray.exe
  • ScanFrm.exe
  • SfCtlCom.exe
  • SpIDerMl.exe
  • TMBMSRV.exe
  • TmProxy.exe
  • Twister.exe
  • UfSeAgnt.exe
  • afwServ.exe
  • ast.exe
  • avcenter.exe
  • avfwsvc.exe
  • avgnt.exe
  • avguard.exe
  • avmailc.exe
  • avp.exe
  • avshadow.exe
  • avwebgrd.exe
  • bdagent.exe
  • ccSvcHst.exe
  • dwengine.exe
  • egui.exe
  • ekrn.exe
  • kavstart.exe
  • kissvc.exe
  • kmailmon.exe
  • kpfw32.exe
  • kpfwsvc.exe
  • kpopserver.exe
  • krnl360svc.exe
  • ksmgui.exe
  • ksmsvc.exe
  • kswebshield.exe
  • kwatch.exe
  • kwstray.exe
  • kxedefend.exe
  • kxesapp.exe
  • kxescore.exe
  • kxeserv.exe
  • kxetray.exe
  • livesrv.exe
  • mcmscsvc.exe
  • mcsysmon.exe
  • mcvsshld.exe
  • msksrver.exe
  • qutmserv.exe
  • rsnetsvr.exe
  • safeboxTray.exe
  • sched.exe
  • seccenter.exe
  • spideragent.exe
  • spidernt.exe
  • spiderui.exe
  • vsserv.exe
  • zhudongfangyu.exe

Löscht sich nach der Ausführung selbst.