TROJ_FAKEAV.LEXA
TR/FakeAV.bhaw (Antivir)
Windows 2000, Windows XP, Windows Server 2003
Type de grayware:
Trojan
Destructif:
Non
Chiffrement:
Oui
In the wild::
Overview
Installiert ein gefälschtes Antiviren-/Anti-Spyware-Programm. Zeigt gefälschte Warnungen vor Infektion an. Zeigt ein gefälschtes Suchergebnisse bezüglich des betroffenen Systems an. Nach Abschluss der Suche wird der Benutzer zum Kauf des Produkts aufgefordert. Wenn sich Benutzer zum Kauf des betrügerischen Produkts entschließen, werden sie auf eine Website geleitet, auf der vertrauliche Daten wie beispielsweise Kreditkartennummern erfragt werden.
Détails techniques
Installation
Schleust die folgenden Dateien ein:
- %System%\us?rinit.exe
- %User Temp%\{E9C1E0AC-C9B1-4c85-94DE-9C1518918D01}.tlb
- %User Temp%\{E9C1E0AC-C9B1-4c85-94DE-9C1518918D02}.tlb
- %system%\exefile.exe
- %system%\drivers\vbma{random}.sys
- %system%\ms{randomchars}.dll
(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)
Autostart-Technik
Registriert die eigene eingeschleuste Komponente als Systemdienst, um zu gewährleisten, dass diese bei jedem Systemstart automatisch ausgeführt wird. Erstellt dafür die folgenden Registrierungseinträge:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\userinit
Start = 2
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\userinit
Type = 10
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\userinit
ErrorControl = 0
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\userinit
ObjectName = "LocalSystem"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\userinit
DisplayName = "Antivirus 2010"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\userinit
Description = "AV software"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\userinit
ImagePath = "\.\globalroot\systemroot\system32\us?rinit.exe"
Andere Systemänderungen
Fügt die folgenden Registrierungsschlüssel hinzu:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{7F230CA0-D973-ECA8-E4E4-E28DBBEC2277}
HKEY_LOCAL_MACHINE\Interface\{66b993fe-420b-8977-5143-d1c92318606e}
HKEY_LOCAL_MACHINE\Interface\{cbe93010-4b77-9e68-7952-c6c546e1b0c4}
Fügt die folgenden Registrierungseinträge hinzu:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{7F230CA0-D973-ECA8-E4E4-E28DBBEC2277}
DisplayIcon = "\.\globalroot\systemroot\system32\us?rinit.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{7F230CA0-D973-ECA8-E4E4-E28DBBEC2277}
NoModify = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{7F230CA0-D973-ECA8-E4E4-E28DBBEC2277}
URLInfoAbout = http://www.webtopbilling.com/
HKEY_CLASSES_ROOT\Interface\{cbe93010-4b77-9e68-7952-c6c546e1b0c4}
u = "131253"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{7F230CA0-D973-ECA8-E4E4-E28DBBEC2277}
NoRepair = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{7F230CA0-D973-ECA8-E4E4-E28DBBEC2277}
u = 200b5
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{7F230CA0-D973-ECA8-E4E4-E28DBBEC2277}
t = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{7F230CA0-D973-ECA8-E4E4-E28DBBEC2277}
a = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{7F230CA0-D973-ECA8-E4E4-E28DBBEC2277}
DisplayName = "Antivirus 2010"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{7F230CA0-D973-ECA8-E4E4-E28DBBEC2277}
Publisher = "WebTop Software Limited"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{7F230CA0-D973-ECA8-E4E4-E28DBBEC2277}
UninstallString = "\.\globalroot\systemroot\system32\us?rinit.exe /uninstall"
Ändert die folgenden Registrierungseinträge:
HKEY_CLASSES_ROOT\exefile\shell\
open\command
(Default) = ""exefile" /shell <%1> %*"
(Note: The default value data of the said registry entry is ""%1" %*".)
Einschleusungsroutine
Schleust die folgenden Dateien ein:
- %System%\exefile.exe - detected as TROJ_FAKEAV.LEXB
(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)
Rogue-Antiviren-Routine
Installiert ein gefälschtes Antiviren-/Anti-Spyware-Programm.
Zeigt gefälschte Warnungen vor Infektion an. Zeigt ein gefälschtes Suchergebnisse bezüglich des betroffenen Systems an. Nach Abschluss der Suche wird der Benutzer zum Kauf des Produkts aufgefordert. Wenn sich Benutzer zum Kauf des betrügerischen Produkts entschließen, werden sie auf eine Website geleitet, auf der vertrauliche Daten wie beispielsweise Kreditkartennummern erfragt werden.