TROJ_BANLOAD.CYB

Wird als Spam-Mail-Anhang durch andere Malware/Grayware/Spyware oder bösartige Benutzer übertragen. Wird möglicherweise von anderer Malware eingeschleust. Wird möglicherweise unwissentlich von einem Benutzer beim Besuch bösartiger Websites heruntergeladen.

Anschließend werden die heruntergeladenen Dateien ausgeführt. Dadurch können die bösartigen Routinen der heruntergeladenen Dateien auf dem betroffenen System aktiv werden.

Der Code enthält Fehler. Die Routinen können deshalb nicht ausgeführt werden.

Übertragungsdetails

Wird als Spam-Mail-Anhang durch andere Malware/Grayware/Spyware oder bösartige Benutzer übertragen.

Wird möglicherweise von anderer Malware eingeschleust.

Wird möglicherweise unwissentlich von einem Benutzer beim Besuch bösartiger Websites heruntergeladen.

Installation

Schleust die folgenden Dateien ein:

• %Windows%\system\{malware name}.EXE - copy of itself
• %Windows%\infosapi.dll - non malicious
• %Windows%\UMANDA.reg - registry file when executed creates autostart registry entry for the malware
• %System%\wbem\acpi.vxd - non malicious

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.. %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
SharedAPPs = {malware path and file name}

Download-Routine

Öffnet die folgenden Websites, um Dateien herunterzuladen:

• http://{BLOCKED}chomes.in/images/images.rar
• http://{BLOCKED}olhado.com.br/js/images.rar
• http://{BLOCKED}l-levata.com/js/images.rar
• http://{BLOCKED}.com/js/images.rar
• http://{BLOCKED}x-arq.com/js/images.rar
• http://{BLOCKED}igoseamigos2010.kit.net/images.rar
• http://{BLOCKED}lacionandoamigos.kit.net/images.rar
• http://{BLOCKED}lpemacla.kit.net/images.rar
• http://{BLOCKED}nanet2006.kit.net/images.rar
• http://{BLOCKED}usamonteloavalanche.kit.net/images.rar
• http://{BLOCKED}igossysters.kit.net/images.rar
• http://{BLOCKED}perbonus.kit.net/images.rar
• http://{BLOCKED}amigos2010.kit.net/images.r

Speichert die heruntergeladenen Dateien unter den folgenden Namen:

• %System%\{random name} - encrypted file

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Anschließend werden die heruntergeladenen Dateien ausgeführt. Dadurch können die bösartigen Routinen der heruntergeladenen Dateien auf dem betroffenen System aktiv werden.

Andere Details

Ausgehend von der Analyse des Codes verfügt die Malware über die folgenden Fähigkeiten:

• It then saves the data to the following file: %System%\{random1}
• It then creates the following file which will contain the decrypted data:
• %System%\{random2}
• {random2} file contains 3 binaries which are then saved as the following:
• %System%\wbem\Thumbs\guardian_jp.exe - detected as TROJ_BANKER.PBX
• %System%\wbem\Thumbs\reenvio.exe - detected as TSPY_VERWELI.E
• %System%\wbem\Thumbs\bho.dll - detected as TSPY_BANKER.RMZ
• It then moves the files to the following directory:
• %System%\wbem\Thumbs\guardian_jp.exe to %System%\netsvcs32.exe
• %System%\wbem\Thumbs\reenvio.exe to %System%\NetLogom.exe
• %System%\wbem\Thumbs\bho.dll to %System%\wbem\essclis.dll
• This malware then executes these files.
• It then deletes the 2 files with random file names.

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Der Code enthält Fehler. Die Routinen können deshalb nicht ausgeführt werden.