Analisado por: Karl Dominguez   
 Plataforma:

Windows 98, ME, NT, 2000, XP, Server 2003

 Classificao do risco total:
 Potencial de dano:
 Potencial de distribui??o:
 infec??o relatada:
Baixo
Medium
Alto
°ä°ù¨ª³Ù¾±³¦´Ç

  • Tipo de grayware:
    Trojan

  • Destrutivo:
    N?o

  • Criptografado:
    N?o

  • In the Wild:
    Sim

  Vis?o geral

Um einen ?berblick ¨¹ber das Verhalten dieser Trojan zu erhalten, verwenden Sie das unten gezeigte Bedrohungsdiagramm.

Wird m?glicherweise von anderer Malware von Remote-Sites heruntergeladen:

  Detalhes t¨¦cnicos

Tipo de compacta??o: 17,408 bytes
Tipo de arquivo: PE
Compresi¨®n de archivo Delphi
Residente na mem¨®ria: N?o
Data de recebimento das amostras iniciais: 14 setembro 2009
Carga ¨²til: Connects to URLs/Ips, Compromises system security, Adds an uninstall option to the Control Panel

?bertragungsdetails

Wird m?glicherweise von der folgender Malware von Remote-Sites heruntergeladen:

  • TROJ_PIDIEF.AAL

Wird m?glicherweise von den folgenden externen Sites heruntergeladen:

  • http://{BLOCKED}.{BLOCKED}.175.29/load.php

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

  • %Program Files%\Common Files\{random file name}.exe

(Hinweis: %Program Files%ist der Standardordner 'Programme', normalerweise C:\Programme.)

Autostart-Technik

F¨¹gt folgende Registrierungseintr?ge hinzu, um bei jedem Systemstart automatisch ausgef¨¹hrt zu werden.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
DnsUpdater = %Program Files%\Common Files\{malware file name}.exe

Andere Details

F¨¹gt die folgenden Registrierungseintr?ge hinzu, um der Systemsteuerung eine Deinstallationsoption hinzuzuf¨¹gen:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
DnsUpdater1\if1
(Default) = {ethernet adapter}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
DnsUpdater1
UninstallString = %Program Files%\Common Files\{malware file name}.exe uninstall

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
DnsUpdater1
DisplayName = DNS Changer (remove only)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
DnsUpdater1
Size =

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
DnsUpdater1
NoModify = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
DnsUpdater1
NoRepair = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
DnsUpdater1\if1
DhcpEnabled = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
DnsUpdater1\if1
DnsRecords = {hex values}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
DnsUpdater1
DnsFile = {BLOCKED}.{BLOCKED}.97.20 {BLOCKED}.{BLOCKED}.97.21

Ausgehend von der Analyse des Codes verf¨¹gt die Malware ¨¹ber die folgenden F?higkeiten:

  • Connects to this URL to get IP addresses that it sets as the new DNS server address: http://www.{BLOCKED}ckin.com/inlogger.php?h={computer name}&u={user name}&t={execution time}
  • Connects to this URL for succeeding executions to check for new IP addresses that it sets as the new DNS server address: http://www.{BLOCKED}ckin.com/dns_update.php

  Solu??o

Mecanismo de varredura m¨ªnima: 8.900
Primeiro arquivo padr?o VSAPI: 6.444.03
Data do lan?amento do primeiro padr?o VSAPI: 14 setembro 2009
VSAPI OPR Pattern Version: 6.887.00
VSAPI OPR Pattern ver?ffentlicht am: 02 mar?o 2010

Step 1

F¨¹r Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.

Step 2

Diesen Registrierungsschl¨¹ssel l?schen

[ Saber mais ]

Wichtig: Eine nicht ordnungsgem??e Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems f¨¹hren. F¨¹hren Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterst¨¹tzung bitten k?nnen. Lesen Sie ansonsten zuerst diesen , bevor Sie die Registrierung Ihres Computers ?ndern.

?
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
    • DnsUpdater1

Step 3

Diesen Registrierungswert l?schen

[ Saber mais ]

Wichtig: Eine nicht ordnungsgem??e Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems f¨¹hren. F¨¹hren Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterst¨¹tzung bitten k?nnen. Lesen Sie ansonsten zuerst diesen , bevor Sie die Registrierung Ihres Computers ?ndern.

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run DnsUpdater
    • DnsUpdater=%Program Files%\Common Files\{malware file name}.exe

Step 4

Durchsuchen Sie Ihren Computer mit Ihrem live casino online Produkt, und l?schen Sie Dateien, die als TROJ_DNSCHANG.XT entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem live casino online Produkt ges?ubert, gel?scht oder in Quarant?ne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarant?ne k?nnen einfach gel?scht werden. Auf dieser finden Sie weitere Informationen.


Participe da nossa pesquisa!

Arquivo correspondente