TROJ_FAKEAV.MIR

Wird möglicherweise von anderer Malware eingeschleust.

Gibt sich als Anti-Spyware aus, die in der Task-Leiste Popups anzeigt, damit der Benutzer denkt, sein System sei infiziert. Dadurch werden Benutzer verleitet, die Vollversion dieser Software zu erwerben. Wenn ein Benutzer dem Kauf der Software zustimmt, wird eine Verbindung zu einem bestimmten URL hergestellt. Ein Fenster wird angezeigt, in dem die Benutzer dieses gefälschte Antivirenprogramm kaufen können.

Übertragungsdetails

Wird möglicherweise von der folgenden Malware eingeschleust:

• TSPY_FAREIT.MIR

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• {All User's Profile}\Application Data\{random name}\{random name}.exe

Schleust die folgenden Dateien ein:

• {All User's Profile}\Application Data\{random name}\{random name}.ico
• %Start Menu%\Programs\AVASoft Professional Antivirus\AVASoft Professional Antivirus.lnk
• %Desktop%\AVASoft Professional Antivirus.lnk
• {All Users' Profile}\Application Data\{random name}\{random name}

(Hinweis: %Start Menu% ist der Ordner 'Startmenü' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü unter Windows NT und C:\Windows\Startmenü oder C:\Dokumente und Einstellungen\{Benutzername}\Startmenü unter Windows 2000, XP und Server 2003.. %Desktop% ist der Ordner 'Desktop' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Desktop unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Desktop unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Desktop unter Windows 2000, XP und Server 2003.)

Erstellt die folgenden Ordner:

• %Start Menu%\Programs\AVASoft Professional Antivirus
• {All User's Profile}\Application Data\{random name}

(Hinweis: %Start Menu% ist der Ordner 'Startmenü' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü unter Windows NT und C:\Windows\Startmenü oder C:\Dokumente und Einstellungen\{Benutzername}\Startmenü unter Windows 2000, XP und Server 2003.)

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
{random name} = "{All User's Profile}\Application Data\{random name}\{random name}.exe"

Rogue-Antiviren-Routine

Gibt sich als Anti-Spyware aus, die in der Task-Leiste Popups anzeigt, damit der Benutzer denkt, sein System sei infiziert. Dadurch werden Benutzer verleitet, die Vollversion dieser Software zu erwerben.

Wenn ein Benutzer dem Kauf der Software zustimmt, wird eine Verbindung zu folgendem URL hergestellt, um den Kauf fortzusetzen:

• http://{BLOCKED}ersec.com/p
• http://{BLOCKED}me.com/p
• http://{BLOCKED}payme.com/p
• http://{BLOCKED}e-bill.com/p
• http://{BLOCKED}rketpay.com/p
• http://{BLOCKED}ysafe.com/p
• http://{BLOCKED}va-soft.org/p

Benutzern wird das folgende Fenster zum Kauf des gefälschten Antivirenprogramms angezeigt:

Zeigt das folgende Fenster an, und gibt vor, das System zu überprüfen: