TSPY_GAUSS.A
W32.Gauss (Symantec); Trojan-Spy.Win32.Gauss (Kaspersky)
Windows 2000, Windows XP, Windows Server 2003
Type de grayware:
Spyware
Destructif:
Non
Chiffrement:
Oui
In the wild::
Oui
Overview
Um einen Überblick über das Verhalten dieser Spyware zu erhalten, verwenden Sie das unten gezeigte Bedrohungsdiagramm.
![](https://documents.trendmicro.com/images/TSPY_GAUSS_A2.jpg)
Ruft bestimmte Informationen vom betroffenen System ab.
Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen. Enn besagte Prozesse gefunden werden, werden diese beendet. Auf diese Weise wird eine ununterbrochene Ausführung auf dem betroffenen System sichergestellt.
Détails techniques
Installation
Schleust folgende nicht bösartigen Dateien ein:
- %User Temp%\~shw.tmp - log file
- %User Temp%\~gdl.tmp - log file
- %User Temp%\~mdk.tmp - log file
- %User Temp%\md.bak - log file
- %Windows%\system\Temp\s61cs3.dat - log file
- %Windows%\temp\~ZM6AD3.tmp - log file
- %User Temp%\ws1bin.dat - log file
- %Windows%\Fonts\pldnrfn.ttf - font file
(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.. %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)
Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:
- ShellHWDetectionMutex
Autostart-Technik
Ändert die folgenden Registrierungseinträge, um bei jedem Systemstart automatisch ausgeführt zu werden:
HKEY_CURRENT_USER\CLSID\{CLSID}\
InProcServer32
(Default) = "%System%\wbem\wmihlp32.dll"
(Note: The default value data of the said registry entry is %system32%\wbem\wbemsvc.dll.)
Andere Systemänderungen
Fügt die folgenden Registrierungseinträge hinzu:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Reliability
TimeStampForUI = "{data}"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Reliability
ShutdownIntervalSnapshotUI = "{data}"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Reliability
ShutdownInterval = "{data}"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Fonts
Palida Narrow (TrueType) = "pldnrfn.ttf"
Datendiebstahl
Ruft folgende Informationen vom betroffenen System ab:
- CMOS information
- BIOS information
- Computer name
- Domain account information
- Operating System Version
- Workstation information
- Available drives
- Driectories under %Program Files% folder
- IE version
- Environment variables
- Network adapter information
- Routing table
- Disk information
- Running Processes
- Available Microsoft SQL servers
- URL cache
- Available network shares
- Proxy configuration
(Hinweis: %Program Files%ist der Standardordner 'Programme', normalerweise C:\Programme.)
Andere Details
Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:
- {BLOCKED}.{BLOCKED}.45.115
- {BLOCKED}.{BLOCKED}.166.116
- {BLOCKED}mputeradvisor.com
- {BLOCKED}nction.org
- {BLOCKED}advisor.info
- {BLOCKED}7.com
- {BLOCKED}access.net
- {BLOCKED}ity.net
Enn besagte Prozesse gefunden werden, werden diese beendet. Auf diese Weise wird eine ununterbrochene Ausführung auf dem betroffenen System sichergestellt.
Solutions
Step 1
Für Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.
Step 2
Malware-Dateien entfernen, die hinterlassen/heruntergeladen wurden von TSPY_GAUSS.A
Step 3
Im abgesicherten Modus neu starten
Step 4
Diesen Registrierungswert löschen
Wichtig: Eine nicht ordnungsgemäße Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten können. Lesen Sie ansonsten zuerst diesen Microsoft Artikel, bevor Sie die Registrierung Ihres Computers ändern.
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Reliability
- TimeStampForUI = {data}
- TimeStampForUI = {data}
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Reliability
- ShutdownIntervalSnapshotUI = {data}
- ShutdownIntervalSnapshotUI = {data}
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Reliability
- ShutdownInterval = {data}
- ShutdownInterval = {data}
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Fonts
- Palida Narrow (TrueType) = pldnrfn.ttf
- Palida Narrow (TrueType) = pldnrfn.ttf
Step 5
Diesen geänderten Registrierungswert wiederherstellen
Wichtig: Eine nicht ordnungsgemäße Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten können. Lesen Sie ansonsten zuerst diesen Microsoft Artikel, bevor Sie die Registrierung Ihres Computers ändern.
- In HKEY_CURRENT_USER\CLSID\{CLSID}\InProcServer32
- From: Default = %System%\wbem\wmihlp32.dll
To: Default = %System%\wbem\wbemsvc.dll
- From: Default = %System%\wbem\wmihlp32.dll
Step 6
Diese Ordner suchen und löschen
- {removable drive letter}:\.Backup0{character}
- {removable drive letter}:\.Backup00{character}
Step 7
Diese Dateien suchen und löschen
- %User Temp%\~shw.tmp
- %User Temp%\~gdl.tmp
- %User Temp%\~mdk.tmp
- %User Temp%\md.bak
- %Windows%\system\Temp\s61cs3.dat
- %Windows%\temp\~ZM6AD3.tmp
- %User Temp%\ws1bin.dat
- %Windows%\Fonts\pldnrfn.ttf
- {removable drive letter}:\thumbs.db
Step 8
Führen Sie den Neustart im normalen Modus durch, und durchsuchen Sie Ihren Computer mit Ihrem Trend Micro Produkt nach Dateien, die als TSPY_GAUSS.A entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem Trend Micro Produkt gesäubert, gelöscht oder in Quarantäne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarantäne können einfach gelöscht werden. Auf dieser Knowledge-Base-Seite finden Sie weitere Informationen.
Step 9
Diesen Sicherheits-Patch herunterladen und übernehmen Verwenden Sie diese Produkte erst, wenn die entsprechenden Patches installiert wurden. Trend Micro empfiehlt Benutzern, wichtige Patches nach der Veröffentlichung sofort herunterzuladen.
Participez à notre enquête!