TROJ_FAKEAV.FHR

Wird möglicherweise von anderer Malware eingeschleust. Wird möglicherweise unwissentlich von einem Benutzer beim Besuch bösartiger Websites heruntergeladen.

Leitet Dateien durch Hinzufügen bestimmter Registrierungseinträge um. Dadurch kann diese Malware ausgeführt werden, auch wenn andere Anwendungen geöffnet sind.

Ändert Registrierungseinträge, um die Einstellungen der Windows Firewall zu deaktivieren. Dadurch kann diese Malware ihre Routinen ausführen, ohne von der Windows Firewall entdeckt zu werden.

Übertragungsdetails

Wird möglicherweise von anderer Malware eingeschleust.

Wird möglicherweise unwissentlich von einem Benutzer beim Besuch bösartiger Websites heruntergeladen.

Installation

Schleust folgende Dateien/Komponenten ein:

• %Application Data%\n3a4ax1ph0166w8150b7w8h53fg04xrpxnlc86
• %Temp%\n3a4ax1ph0166w8150b7w8h53fg04xrpxnlc86

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.. %Temp% ist der Windows Ordner für temporäre Dateien, normalerweise C:\Windows\Temp oder C:\WINNT\Temp.)

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %Application Data%\{3 random characters}.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Autostart-Technik

Leitet Dateien um, damit sie beim Zugriff auf bestimmte Dateitypen ausgeführt wird, indem sie die folgenden Einträge hinzufügt:

HKEY_CLASSES_ROOT\{2 random characters}\shell\
open\command
(Default) = "%Application Data%\{3 random characters}.exe"

HKEY_CLASSES_ROOT\.exe\shell\
open\command
(Default) = "%Application Data%\{3 random characters}.exe"

HKEY_CLASSES_ROOT\{2 random characters}
(Default) = "Application"

HKEY_CLASSES_ROOT\{2 random characters}
Content Type = "application/x-msdownload"

HKEY_CLASSES_ROOT\{2 random characters}\DefaultIcon
(Default) = "%1"

HKEY_CLASSES_ROOT\{2 random characters}\shell\
open\command
IsolatedCommand = ""%1" %*"

HKEY_CLASSES_ROOT\{2 random characters}\shell\
runas\command
(Default) = ""%1" %*"

HKEY_CLASSES_ROOT\{2 random characters}\shell\
runas\command
IsolatedCommand = ""%1" %*"

HKEY_CLASSES_ROOT\.exe\DefaultIcon
(Default) = "%1"

HKEY_CLASSES_ROOT\.exe\shell\
open\command
IsolatedCommand = ""%1" %*"

HKEY_CLASSES_ROOT\.exe\shell\
runas\command
(Default) = ""%1" %*"

HKEY_CLASSES_ROOT\.exe\shell\
runas\command
IsolatedCommand = ""%1" %*"

HKEY_CURRENT_USER\Software\Classes\
.exe
(Default) = "{2 random characters}"

HKEY_CURRENT_USER\Software\Classes\
.exe
Content Type = "application/x-msdownload"

HKEY_CURRENT_USER\Software\Classes\
.exe\DefaultIcon
(Default) = "%1"

HKEY_CURRENT_USER\Software\Classes\
.exe\shell\open\
command
(Default) = "%Application Data%\(3 random characters}.exe -a "%1" %*"

HKEY_CURRENT_USER\Software\Classes\
.exe\shell\open\
command
IsolatedCommand = ""%1" %*"

HKEY_CURRENT_USER\Software\Classes\
.exe\shell\runas\
command
(Default) = ""%1" %*"

HKEY_CURRENT_USER\Software\Classes\
.exe\shell\runas\
command
IsolatedCommand = ""%1" %*"

HKEY_CURRENT_USER\Software\Classes\
{2 random characters}
(Default) = "Application"

HKEY_CURRENT_USER\Software\Classes\
{2 random characters}
Content Type = "application/x-msdownload"

HKEY_CURRENT_USER\Software\Classes\
{2 random characters}\DefaultIcon
(Default) = "%1"

HKEY_CURRENT_USER\Software\Classes\
{2 random characters}\shell\open\
command
(Default) = "%Application Data%\{3 randomcharacters}.exe -a "%1" %*"

HKEY_CURRENT_USER\Software\Classes\
{2 random characters}\shell\open\
command
IsolatedCommand = ""%1" %*"

HKEY_CURRENT_USER\Software\Classes\
{2 random characters}\shell\runas\
command
(Default) = ""%1" %*"

HKEY_CURRENT_USER\Software\Classes\
{2 random characters}\shell\runas\
command
IsolatedCommand = ""%1" %*"

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge als Teil der Installationsroutine hinzu:

HKEY_CURRENT_USER\Software\Microsoft\
Windows
Local = "a362f438"

Fügt die folgenden Registrierungsschlüssel als Teil der Installationsroutine hinzu:

HKEY_CLASSES_ROOT\{2 random characters}

HKEY_CLASSES_ROOT\.exe\shell

HKEY_CURRENT_USER\Software\Classes\
.exe

HKEY_CURRENT_USER\Software\Classes\
.exe\DefaultIcon

HKEY_CURRENT_USER\Software\Classes\
{2 random characters}

HKEY_CLASSES_ROOT\.exe\DefaultIcon

Ändert die folgenden Registrierungseinträge:

HKEY_CURRENT_USER\Software\Microsoft\
MessengerService
Server = "messenger.hotmail.com;64.4.61.35:1863"

(Note: The default value data of the said registry entry is messenger.hotmail.com;64.4.9.254:1863.)

HKEY_LOCAL_MACHINE\SOFTWARE\Clients\
StartMenuInternet\FIREFOX.EXE\shell\
open\command
(Default) = ""%Application Data%\{3 random characters}.exe" -a "%Program Files%\Mozilla Firefox\firefox.exe""

(Note: The default value data of the said registry entry is %Program Files%\Mozilla Firefox\firefox.exe.)

HKEY_LOCAL_MACHINE\SOFTWARE\Clients\
StartMenuInternet\FIREFOX.EXE\shell\
safemode\command
(Default) = ""%Application Data%\{3 random characters}.exe" -a "%Program Files%\Mozilla Firefox\firefox.exe" -safe-mode"

(Note: The default value data of the said registry entry is "%Program Files%\Mozilla Firefox\firefox.exe" -safe-mode.)

HKEY_LOCAL_MACHINE\SOFTWARE\Clients\
StartMenuInternet\IEXPLORE.EXE\shell\
open\command
(Default) = ""%Application Data%\{3 random characters}.exe" -a "%Program Files%\Internet Explorer\iexplore.exe""

(Note: The default value data of the said registry entry is %Program Files%\Internet Explorer\iexplore.exe.)

HKEY_CLASSES_ROOT\.exe
(Default) = "2 random characters"

(Note: The default value data of the said registry entry is exefile.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusDisableNotify = "1"

(Note: The default value data of the said registry entry is 0.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
UpdatesDisableNotify = "1"

(Note: The default value data of the said registry entry is 0.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusOverride = "1"

(Note: The default value data of the said registry entry is 0.)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess
Start = "4"

(Note: The default value data of the said registry entry is 2.)

Ändert die folgenden Registrierungseinträge, um die Einstellungen der Windows Firewall zu deaktivieren:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallDisableNotify = "1"

(Note: The default value data of the said registry entry is 0.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallOverride = "1"

(Note: The default value data of the said registry entry is 0.)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
EnableFirewall = "0"

(Note: The default value data of the said registry entry is 1.)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
DisableNotifications = "1"

(Note: The default value data of the said registry entry is 0.)

Löscht die folgenden Registrierungsschlüssel:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wuauserv