TROJ_VB.ZAA
Windows 98, ME, NT, 2000, XP, Server 2003
Malware-Typ:
Trojan
Zerstrerisch?:
Nein
Verschlsselt?:
In the wild::
Ja
Überblick
Trend Micro has flagged this Trojan as noteworthy due to the increased potential for damage, propagation, or both, that it possesses. This Trojan is related to another noteworthy entry BKDR_VBOT.A
To get a one-glance comprehensive view of the behavior of this Trojan, refer to the Threat Diagram shown below.
Wird möglicherweise von anderer Malware eingeschleust.
Fügt Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.
Hört Ports ab. Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird.
Technische Details
Übertragungsdetails
Wird möglicherweise von der folgenden Malware eingeschleust:
- BKDR_VBOT.A
Installation
Schleust die folgenden Dateien ein:
- %System%\MSCONFIG32.SYS
(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)
Autostart-Technik
Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.
HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit =
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Adobe Update Manager = {malware path and file name}
HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
Adobe Update Manager = {malware path and file name}
Backdoor-Routine
Hört folgende Ports ab:
- TCP port 8585
Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:
- {BLOCKED}.ath.cx
- {BLOCKED}s.ath.cx
Download-Routine
Öffnet Websites, um die folgenden Dateien herunterzuladen:
- msimsg32.vxd
- ntconf32.dll
- ntsys32.vxd
Lösungen
Step 1
Für Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.
Step 2
- Malware-Dateien entfernen, die hinterlassen/heruntergeladen wurden von TROJ_VB.ZAA
Step 3
Diesen Registrierungswert löschen
Wichtig: Eine nicht ordnungsgemäße Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten können. Lesen Sie ansonsten zuerst diesen Microsoft Artikel, bevor Sie die Registrierung Ihres Computers ändern.
- In HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon
- Userinit =
- Userinit =
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- Adobe Update Manager = {malware path and file name}
- Adobe Update Manager = {malware path and file name}
- In HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
- Adobe Update Manager = {malware path and file name}
- Adobe Update Manager = {malware path and file name}
Step 4
Diesen geänderten Registrierungswert wiederherstellen
Wichtig: Eine nicht ordnungsgemäße Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten können. Lesen Sie ansonsten zuerst diesen Microsoft Artikel, bevor Sie die Registrierung Ihres Computers ändern.
- In HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon
- From: Userinit = %System%\userinit,{malware path and filename}
- To: Userinit = %System%\userinit.exe,
Step 5
Diese Dateien suchen und löschen
- %System%\MSCONFIG32.SYS
Step 6
Durchsuchen Sie Ihren Computer mit Ihrem Trend Micro Produkt, und löschen Sie Dateien, die als TROJ_VB.ZAA entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem Trend Micro Produkt gesäubert, gelöscht oder in Quarantäne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarantäne können einfach gelöscht werden. Auf dieser Knowledge-Base-Seite finden Sie weitere Informationen.
Nehmen Sie an unserer Umfrage teil