Analyse von: Nice Yutuc   
 Plattform:

Windows 2000, Windows XP, Windows Server 2003

 Risikobewertung (gesamt):
 Schadenspotenzial::
 Verteilungspotenzial::
 reportedInfection:
Niedrig
Mittel
Hoch
Kritisch

  • Malware-Typ:
    Trojan

  • Zerstrerisch?:
    Nein

  • Verschlsselt?:
     

  • In the wild::
    Ja

  Überblick


  Technische Details

Dateigröße: 53,816 bytes
Dateityp: EXE
Speicherresiden: Ja
Erste Muster erhalten am: 15 Dezember 2011

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein und führt sie aus:

  • %System%\{8 random characters}.exe

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
vcspnet = "%System%\{8 random characters}.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
vcspnet = "%System%\{8 random characters}.exe"

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge als Teil der Installationsroutine hinzu:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%System%\{8 random characters}.exe = "%System%\{8 random characters}.exe:*:Enabled:Internet Explorer"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%Windows%\explorer.exe = "%Windows%\explorer.exe:*:Enabled:Internet Explorer"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
5203:TCP = "5203:TCP:*:Enabled:WWW"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
53:UDP = "53:UDP:*:Enabled:DNS"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
80:TCP = "80:TCP:*:Enabled:WWW"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
25:UDP = "25:UDP:*:Enabled:SMTP"

  Lösungen

Mindestversion der Scan Engine: 9.200
Erste VSAPI Pattern-Datei: 8.652.06
Erste VSAPI Pattern veröffentlicht am: 18 Dezember 2011
VSAPI OPR Pattern-Version: 8.653.00
VSAPI OPR Pattern veröffentlicht am: 19 Dezember 2011

Step 1

Für Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.

Step 2

Dateien erkennen und deaktivieren, die als TROJ_AGENT.CHO entdeckt wurden

[ learnMore ]
  1. Für Windows 98 und ME Benutzer: Der Windows Task-Manager zeigt möglicherweise nicht alle aktiven Prozesse an. Verwenden Sie in diesem Fall einen Prozess-Viewer eines Drittanbieters, vorzugsweise Process Explorer, um die Malware-/Grayware-/Spyware-Datei zu beenden. Dieses Tool können Sie hier.
    2. herunterladen.
  2. Wenn die entdeckte Datei im Windows Task-Manager oder Process Explorer angezeigt wird, aber nicht gelöscht werden kann, starten Sie Ihren Computer im abgesicherten Modus neu. Klicken Sie auf diesen Link, um alle erforderlichen Schritte anzuzeigen.
  3. Wenn die entdeckte Datei nicht im Windows Task-Manager oder im Process Explorer angezeigt wird, fahren Sie mit den nächsten Schritten fort.

Step 3

Diesen Registrierungswert löschen

[ learnMore ]

Wichtig: Eine nicht ordnungsgemäße Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten können. Lesen Sie ansonsten zuerst diesen Microsoft Artikel, bevor Sie die Registrierung Ihres Computers ändern.

 
  • In HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
    • vcspnet = "%System%\{8 random characters}.exe"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
    • vcspnet = "%System%\{8 random characters}.exe"
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List
    • %System%\{8 random characters}.exe = "%System%\{8 random characters}.exe:*:Enabled:Internet Explorer"
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List
    • %Windows%\explorer.exe = "%Windows%\explorer.exe:*:Enabled:Internet Explorer"
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List
    • 5203:TCP = "5203:TCP:*:Enabled:WWW"
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List
    • 53:UDP = "53:UDP:*:Enabled:DNS"
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List
    • 53:UDP = "53:UDP:*:Enabled:DNS"
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List
    • 25:UDP = "25:UDP:*:Enabled:SMTP"

Step 4

Diese Zeichenfolgen entfernen, die die Malware/Grayware/Spyware zur HOSTS-Datei hinzugefügt hat

[ learnMore ]
    192.168.0.101 www.trendmicro.com
    192.168.0.101 trendmicro.com
    192.168.0.101 rads.mcafee.com
    192.168.0.101 customer.symantec.com
    192.168.0.101 liveupdate.symantec.com
    192.168.0.101 us.mcafee.com
    192.168.0.101 updates.symantec.com
    192.168.0.101 update.symantec.com
    192.168.0.101 www.nai.com
    192.168.0.101 nai.com
    192.168.0.101 secure.nai.com
    192.168.0.101 dispatch.mcafee.com
    192.168.0.101 download.mcafee.com
    192.168.0.101 www.my-etrust.com
    192.168.0.101 my-etrust.com
    192.168.0.101 mast.mcafee.com
    192.168.0.101 ca.com
    192.168.0.101 www.ca.com
    192.168.0.101 networkassociates.com
    192.168.0.101 www.networkassociates.com
    192.168.0.101 avp.com
    192.168.0.101 www.kaspersky.com
    192.168.0.101 www.avp.com
    192.168.0.101 kaspersky.com
    192.168.0.101 www.f-secure.com
    192.168.0.101 f-secure.com
    192.168.0.101 viruslist.com
    192.168.0.101 www.viruslist.com
    192.168.0.101 liveupdate.symantecliveupdate.com
    192.168.0.101 mcafee.com
    192.168.0.101 www.mcafee.com
    192.168.0.101 sophos.com
    192.168.0.101 www.sophos.com
    192.168.0.101 symantec.com

Step 5

Durchsuchen Sie Ihren Computer mit Ihrem Trend Micro Produkt, und löschen Sie Dateien, die als TROJ_AGENT.CHO entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem Trend Micro Produkt gesäubert, gelöscht oder in Quarantäne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarantäne können einfach gelöscht werden. Auf dieser Knowledge-Base-Seite finden Sie weitere Informationen.


Nehmen Sie an unserer Umfrage teil