Analyse von: Jaime Benigno Reyes   
 

Trojan:Win32/FakeSysdef (Microsoft), Trojan.FakeAV (Norton)

 Plattform:

Windows 2000, Windows XP, Windows Server 2003

 Risikobewertung (gesamt):
 Schadenspotenzial::
 Verteilungspotenzial::
 reportedInfection:
Niedrig
Mittel
Hoch
Kritisch

  • Malware-Typ:
    Trojan

  • Zerstrerisch?:
    Nein

  • Verschlsselt?:
     

  • In the wild::
    Ja

  Überblick

Wird ausgeführt und löscht sich dann selbst.

Ändert Zoneneinstellungen von Internet Explorer.

  Technische Details

Dateigröße: Variiert
Dateityp: EXE
Speicherresiden: Nein
Erste Muster erhalten am: 20 August 2008

Installation

Schleust folgende Komponentendateien ein:

  • %System Root%\Documents and Settings\All Users\Application Data\{random file name}
  • %User Profile%\Application Data\Microsoft\Internet Explorer\Quick Launch\File_Recovery.lnk or %User Profile%\Application Data\Microsoft\Internet Explorer\Quick Launch\File_Restore.lnk
  • %Desktop%\File_Recovery.lnk or %Desktop%\File_Restore.lnk
  • %Start Menu%\Programs\File Recovery\File Recovery.lnk or %Start Menu%\Programs\File Restore\File Restore.lnk
  • %Start Menu%\Programs\File Recovery\Uninstall File Recovery.lnk or %Start Menu%\Programs\File Restore\Uninstall File Restore.lnk

(Hinweis: %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.. %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.. %Desktop% ist der Ordner 'Desktop' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Desktop unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Desktop unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Desktop unter Windows 2000, XP und Server 2003.. %Start Menu% ist der Ordner 'Startmenü' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü unter Windows NT und C:\Windows\Startmenü oder C:\Dokumente und Einstellungen\{Benutzername}\Startmenü unter Windows 2000, XP und Server 2003.)

Schleust die folgenden Eigenkopien in das betroffene System ein:

  • %System Root%\Documents and Settings\All Users\Application Data\{random file name}.exe

(Hinweis: %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.)

Erstellt die folgenden Ordner:

  • %Start Menu%\Programs\File Recovery or %Start Menu%\Programs\File Restore

(Hinweis: %Start Menu% ist der Ordner 'Startmenü' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü unter Windows NT und C:\Windows\Startmenü oder C:\Dokumente und Einstellungen\{Benutzername}\Startmenü unter Windows 2000, XP und Server 2003.)

Wird ausgeführt und löscht sich dann selbst.

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{malware file name} = "%System Root%\Documents and Settings\All Users\Application Data\{malware file name}.exe"

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Associations

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Attachments

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
ESENT\Process\{malware file name}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
ESENT\Process\{malware file name}\
DEBUG

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Use FormSuggest = "Yes"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Associations
LowRiskFileTypes = ".zip;.rar;.nfo;.txt;.exe;.bat;.com;.cmd;.reg;.msi;.htm;.html;.gif;.bmp;.jpg;.avi;.mpg;.mpeg;.mov;.mp3;.m3u;.wav;.scr;"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Attachments
SaveZoneInformation = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
ESENT\Process\{malware file name}\
DEBUG
Trace Level = ""

Ändert die folgenden Registrierungsschlüssel:

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Download
CheckExeSignatures = "yes"

(Note: The default value data of the said registry entry is "no".)

Änderung der Startseite von Webbrowser und Suchseite

Ändert Zoneneinstellungen von Internet Explorer.