TROJ_ZBOT.WCZ

Versucht, Daten zu entwenden, wie z. B. Benutzernamen und Kennwörter, die beim Anmelden auf Websites von Banken oder anderen Finanzdienstleistern verwendet werden.

Übertragungsdetails

Wird möglicherweise von folgenden Remote-Sites heruntergeladen:

• http://{BLOCKED}fan.net/chan/aol.exe

Installation

Fügt die folgenden Ordner hinzu:

• %Application Data%\{random1}
• %Application Data%\{random2}

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Injiziert sich selbst in die folgenden Prozesse, um speicherresident ausgeführt zu werden:

• ctfmon.exe
• explorer.exe
• rdpclip.exe
• taskeng.exe
• taskhost.exe
• wscntfy.exe

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{E4B35C10-A034-EB30-2472-4E97860F1DB9} = %Application Data%\{random1}\{random}.exe

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_CURRENT_USER\Software\Microsoft\
{random}

Einschleusungsroutine

Schleust die folgenden Dateien ein:

• %Application Data%\{random1}\{random}.exe
• %Application Data%\{random2}\{random}.{random}

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Datendiebstahl

Greift auf die folgende Site zu, um die eigene Konfigurationsdatei herunterzuladen:

• http://{BLOCKED}fan.net/chan/cfg.bin

Versucht, Daten von den folgenden Banken und/oder anderen Geldinstituten zu entwenden:

• Microsoft
• Myspace
• Odnoklassniki

Entwendete Daten

Sendet die gesammelten Daten über HTTP-POST an den folgenden URL:

• http://{BLOCKED}fan.net/chan/bril/server.php

Informationen über Varianten

Verfügt über folgende MD5-Hash-Werte:

• baaa78417356585e3b0a157fdc3d09c9

Verfügt über folgende SHA1-Hash-Werte:

• 319465e96922a05456b969d01d9d0b781c592d89