PE_SALITY.EK

Deaktiviert Task-Manager, Registrierungseditor

Diese Malware hat keine Backdoor-Routine.

Ändert Zoneneinstellungen von Internet Explorer.

Diese Malware kann keine Daten stehlen.

Installation

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• Op1mutx9
• |{malware name}.exeM_{random number}_

Autostart-Technik

Ändert die folgenden Registrierungseinträge, um bei jedem Systemstart automatisch ausgeführt zu werden:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Shell = "Explorer.exe {malware}.exe"

(Note: The default value data of the said registry entry is Explorer.exe.)

Andere Systemänderungen

Fügt folgende Zeilen/Einträge zur Datei SYSTEM.INI hinzu:

• [MCIDRV_VER]
• DEVICEMB={random numbers}

Fügt die folgenden Registrierungseinträge als Teil der Installationsroutine hinzu:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
GlobalUserOffline = "0"

Fügt die folgenden Registrierungsschlüssel als Teil der Installationsroutine hinzu:

HKEY_CURRENT_USER\Software\{user_name}914

Erstellt den oder die folgenden Registrierungseinträge, um Task-Manager, Registrierungs-Tools und Ordneroptionen zu deaktivieren:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableRegistryTools = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NofolderOptions = "1"

Erstellt den oder die folgenden Registrierungseinträge, um die Windows Firewall zu umgehen:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
{malware path}\{malware name}.exe = "{malware path}\{malware name}.exe:*:Enabled:ipsec"

Löscht die folgenden Registrierungsschlüssel:

HKEY_CURRENT_USER\System\CurrentControlSet\
Control\SafeBoot

Dateiinfektion

Infiziert die folgenden Dateitypen:

• EXE
• SCR

Dies ist die Erkennung von Trend Micro für Dateien, die mit infiziert wurden:

• PE_SALITY.EK-O

Backdoor-Routine

Diese Malware hat keine Backdoor-Routine.

Prozessbeendigung

Beendet die folgenden Dienste, wenn sie auf dem betroffenen System gefunden werden:

• aswUpdSv
• avast! Antivirus
• avast! Mail Scanner
• avast! Web Scanner
• BackWeb Plug-in - 4476822
• BGLiveSvc
• BlackICE
• CAISafe
• ccEvtMgr
• ccProxy
• ccSetMgr
• F-Prot Antivirus Update Monitor
• fsbwsys
• FSDFWD
• F-Secure Gatekeeper Handler Starter
• fshttps
• InoRPC
• InoRT
• InoTask
• ISSVC
• LavasoftFirewall
• LIVESRV
• McAfeeFramework
• McShield
• McTaskManager
• navapsvc
• NOD32krn
• NPFMntor
• NSCService
• Outpost Firewall main module
• OutpostFirewall
• PAVFIRES
• PAVFNSVR
• PavProt
• PavPrSrv
• PAVSRV
• PcCtlCom
• PersonalFirewal
• PREVSRV
• ProtoPort Firewall service
• PSIMSVC
• RapApp
• SmcService
• SNDSrvc
• SPBBCSvc
• Symantec Core LC
• Tmntsrv
• TmPfw
• tmproxy
• UmxAgent
• UmxCfg
• UmxLU
• UmxPol
• vsmon
• VSSERV
• WebrootDesktopFirewallDataService
• WebrootFirewall
• XCOMM

Beendet Prozesse oder Dienste, die einen oder mehrere dieser Zeichenfolgen enthalten, wenn sie im Speicher des betroffenen Systems ausgeführt werden:

• ALERTSVC
• ALMON.
• ALOGSERV
• ALSVC.
• AMON.
• ANTI-TROJAN.
• ANTIVIR
• ANTS.
• APVXDWIN.
• ARMOR2NET.
• ASHAVAST.
• ASHDISP.
• ASHENHCD.
• ASHMAISV.
• ASHPOPWZ.
• ASHSERV.
• ASHSIMPL.
• ASHSKPCK.
• ASHWEBSV.
• ASWUPDSV.
• ATCON.
• ATUPDATER.
• ATWATCH.
• AUPDATE.
• AUTODOWN.
• AUTOTRACE.
• AUTOUPDATE.
• AVCIMAN.
• AVCONSOL.
• AVENGINE.
• AVGAMSVR.
• AVGCC.
• AVGCC32.
• AVGCTRL.
• AVGEMC.
• AVGFWSRV.
• AVGNT.
• AVGNTDD
• AVGNTMGR
• AVGSERV.
• AVGUARD.
• AVGUPSVC.
• AVINITNT.
• AVKSERV.
• AVKSERVICE.
• AVKWCTL.
• AVP32.
• AVPCC.
• AVPM.
• AVAST
• AVSCHED32.
• AVSYNMGR.
• AVWUPD32.
• AVWUPSRV.
• AVXMONITOR9X.
• AVXMONITORNT.
• AVXQUAR.
• BACKWEB-4476822.
• BDMCON.
• _AVPM.
• A2GUARD.
• AAVSHIELD.
• AVAST
• ADVCHK.
• AHNSD.
• AIRDEFENSE
• CMGRDIAN.
• CUREIT
• DEFWATCH.
• DOORS.
• DRVIRUS.
• DRWADINS.
• DRWEB32W.
• DRWEBSCD.
• DRWEBUPW.
• ESCANH95.
• ESCANHNT.
• EWIDOCTRL.
• EZANTIVIRUSREGISTRATIONCHECK.
• F-AGNT95.
• FAMEH32.
• FAST.
• FCH32.
• FILEMON
• FIRESVC.
• FIRETRAY.
• FIREWALL.
• FPAVUPDM.
• F-PROT95.
• FRESHCLAM.
• FSAV32.
• FSAVGUI.
• FSBWSYS.
• F-SCHED.
• FSDFWD.
• FSGK32.
• FSGK32ST.
• FSGUIEXE.
• FSM32.
• FSMA32.
• FSMB32.
• FSPEX.
• FSSM32.
• F-STOPW.
• GCASDTSERV.
• GCASSERV.
• GIANTANTISPYWAREMAIN.
• GIANTANTISPYWAREUPDATER.
• GUARDGUI.
• GUARDNT.
• HREGMON.
• HRRES.
• HSOCKPE.
• HUPDATE.
• IAMAPP.
• IAMSERV.
• ICLOAD95.
• ICLOADNT.
• ICMON.
• ICSSUPPNT.
• ICSUPP95.
• ICSUPPNT.
• IFACE.
• INETUPD.
• INOCIT.
• INORPC.
• INORT.
• INOTASK.
• INOUPTNG.
• IOMON98.
• ISAFE.
• ISATRAY.
• ISRV95.
• ISSVC.
• KAVMM.
• KAVPF.
• KAVPFW.
• KAVSTART.
• KAVSVC.
• KAVSVCUI.
• KMAILMON.
• KPFWSVC.
• KWATCH.
• LOCKDOWN2000.
• LOGWATNT.
• LUALL.
• LUCOMSERVER.
• LUUPDATE.
• MCAGENT.
• MCMNHDLR.
• MCREGWIZ.
• MCUPDATE.
• MCVSSHLD.
• MINILOG.
• MYAGTSVC.
• MYAGTTRY.
• NAVAPSVC.
• NAVAPW32.
• NAVLU32.
• NAVW32.
• NOD32.
• NEOWATCHLOG.
• NEOWATCHTRAY.
• NISSERV
• NISUM.
• NMAIN.
• NOD32
• NORMIST.
• NOTSTART.
• NPAVTRAY.
• NPFMNTOR.
• NPFMSG.
• NPROTECT.
• NSCHED32.
• NSMDTR.
• NSSSERV.
• NSSTRAY.
• NTRTSCAN.
• NTXCONFIG.
• NUPGRADE.
• NVC95.
• NVCOD.
• NVCTE.
• NVCUT.
• NWSERVICE.
• OFCPFWSVC.
• OUTPOST.
• PAVFIRES.
• PAVFNSVR.
• PAVKRE.
• PAVPROT.
• PAVPROXY.
• PAVPRSRV.
• PAVSRV51.
• PAVSS.
• PCCGUIDE.
• PCCIOMON.
• PCCNTMON.
• PCCPFW.
• PCCTLCOM.
• PCTAV.
• PERSFW.
• PERTSK.
• PERVAC.
• PNMSRV.
• POP3TRAP.
• POPROXY.
• PREVSRV.
• PSIMSVC.
• QHM32.
• QHONLINE.
• QHONSVC.
• QHPF.
• QHWSCSVC.
• RAVMON.
• RAVTIMER.
• REALMON.
• REALMON95.
• RFWMAIN.
• RTVSCAN.
• RTVSCN95.
• RULAUNCH.
• SAVADMINSERVICE.
• SAVMAIN.
• SAVPROGRESS.
• SAVSCAN.
• SCAN32.
• SCANNINGPROCESS.
• CUREIT.
• SDHELP.
• SHSTAT.
• SITECLI.
• SPBBCSVC.
• SPHINX.
• SPIDERML.
• SPIDERNT.
• SPIDERUI.
• SPYBOTSD.
• SPYXX.
• SS3EDIT.
• STOPSIGNAV.
• SWAGENT.
• SWDOCTOR.
• SWNETSUP.
• SYMLCSVC.
• SYMPROXYSVC.
• SYMSPORT.
• SYMWSC.
• SYNMGR.
• TAUMON.
• TBMON.
• AVAST
• TDS-3.
• TEATIMER.
• TFAK.
• THAV.
• THSM.
• TMAS.
• TMLISTEN.
• TMNTSRV.
• TMPFW.
• TMPROXY.
• TNBUTIL.
• TRJSCAN.
• UP2DATE.
• VBA32ECM.
• VBA32IFS.
• VBA32LDR.
• VBA32PP3.
• VBSNTW.
• VCHK.
• VCRMON.
• VETTRAY.
• VIRUSKEEPER.
• VPTRAY.
• VRFWSVC.
• VRMONNT.
• VRMONSVC.
• VRRW32.
• VSECOMR.
• VSHWIN32.
• VSMON.
• VSSERV.
• VSSTAT.
• WATCHDOG.
• WEBPROXY.
• WEBSCANX.
• WEBTRAP.
• WGFE95.
• WINAW32.
• WINROUTE.
• WINSS.
• WINSSNOTIFY.
• WRADMIN.
• WRCTRL.
• XCOMMSVR.
• ZATUTOR.
• ZAUINST.
• ZLCLIENT.
• ZONEALARM.
• BDNEWS.
• BDOESRV.
• BDSS.
• BDSUBMIT.
• BDSWITCH.
• BLACKD.
• BLACKICE.
• CAFIX.
• CCAPP.
• CCEVTMGR.
• CCPROXY.
• CCSETMGR.
• CFIAUDIT.
• CLAMTRAY.
• CLAMWIN.
• CLAW95.
• CLAW95CF.
• CLEANER.
• CLEANER3.
• CLISVC.

Änderung der Startseite von Webbrowser und Suchseite

Ändert Zoneneinstellungen von Internet Explorer.

Download-Routine

Öffnet die folgenden Websites, um Dateien herunterzuladen:

• http://{BLOCKED}re.net.cn/logos.gif?{random}={random}
• http://{BLOCKED}7638dfqwieuoi.info/?{random}={random}
• http://{BLOCKED}ustnet777.info/?{random}={random}
• http://{BLOCKED}ustnet777.info/home.gif?{random}={random}
• http://{BLOCKED}ustnet888.info/home.gif?{random}={random}
• http://{BLOCKED}ustnet987.info/home.gif?{random}={random}
• http://{BLOCKED}ru/logos.gif?{random}={random}
• http://{BLOCKED}nia.my1.ru/mainh.gif?{random}={random}
• http://{BLOCKED}w8w.pl/mainh.gif?{random}={random}
• http://{BLOCKED}oy.h17.ru/mainf.gif?{random}={random}
• http://www.{BLOCKED}fqwieluoi.info/?{random}={random}
• http://www.{BLOCKED}org/mainf.gif?{random}={random}

Datendiebstahl

Diese Malware kann keine Daten stehlen.