TROJ_DNSCHANG.YI

Wird möglicherweise von anderer Malware/Grayware/Spyware von externen Sites heruntergeladen. Wird möglicherweise von anderer Malware eingeschleust. Wird möglicherweise unwissentlich von einem Benutzer beim Besuch bösartiger Websites heruntergeladen.

Verbindet sich mit bestimmten URLs. Dadurch kann ein böswilliger Benutzer extern über die Installation informiert werden. Es können auch möglicherweise bösartige Dateien auf den Computer heruntergeladen werden, so dass das Risiko einer Infektion durch andere Bedrohungen erhöht wird.

Übertragungsdetails

Wird möglicherweise von anderer Malware/Grayware/Spyware von externen Sites heruntergeladen.

Wird möglicherweise von anderer Malware eingeschleust.

Wird möglicherweise unwissentlich von einem Benutzer beim Besuch bösartiger Websites heruntergeladen.

Installation

Schleust folgende Dateien/Komponenten ein:

• %System%\spool\driver\PMTP_TEMP_CONFIG.INI

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %System%\spool\drivers\nps.exe

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Autostart-Technik

Registriert sich als Systemdienst, damit sie bei jedem Systemstart automatisch ausgeführt wird, indem sie die folgenden Registrierungseinträge hinzufügt:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Network Port Services
Type = 10

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Network Port Services
Start = 2

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Network Port Services
ErrorControl = 1

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Network Port Services
ImagePath = %System%\spool\drivers\nps.exe /Start

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Network Port Services
DisplayName = Network Port Services

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Network Port Services
ObjectName = LocalSystem

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Network Port Services
Description = This Service analysis Network Ports. If this service was stopped, the computer will not be able to resolve Network Port and location Active Directory domain controller. If this service is disabled, any clear rely on its services will not be able to start.

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
PTMPService

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
PTMPService_Temp

Fügt die folgenden Registrierungseinträge als Teil der Installationsroutine hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
PTMPService
Service = Network Port Services

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
PTMPService
Programe = nps.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
PTMPService
Description = This Service analysis Network Ports. If this service was stopped, the computer will not be able to resolve Network Port and location Active Directory domain controller. If this service is disabled, any clear rely on its services will not be able to start.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
PTMPService
ClientID = Ours

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
PTMPService
FirstServer = http://www.highest-developments.com/ptmp2.php

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
PTMPService
SecondServer = http://www.moderinnovation.com/ptmp2.php

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
PTMPService
ThirdServer = http://www.spf-domainkey.com/ptmp2.php

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
PTMPService
Disallow = bl.php

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
PTMPService
DomainVer = du.txt

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
PTMPService
DomainList = dd.txt

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
PTMPService
IISPort = {new IIS Port number}

Erstellt den oder die folgenden Registrierungseinträge, um die Windows Firewall zu umgehen:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\DomainProfile\AuthorizedApplications\
List
BW-PTMP = %System%\spool\drivers\nps.exe:*:enabled:Explorer

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
BW-PTMP = %System%\spool\drivers\nps.exe:*:enabled:Explorer

Download-Routine

Verbindet sich mit den folgenden bösartigen URLs:

• http://www.{BLOCKED}t-developments.com/ptmp2.php
• http://www.{BLOCKED}nnovation.com/ptmp2.php
• http://www.{BLOCKED}mainkey.com/ptmp2.php