RTKT_DOTTUN.VTH
Windows
Type de grayware:
Others
Destructif:
Non
Chiffrement:
Non
In the wild::
Oui
Overview
Wird m?glicherweise von anderer Malware eingeschleust.
Verf¨¹gt auch ¨¹ber Rootkit-F?higkeiten, wodurch die eigenen Prozesse und Dateien vor dem Benutzer versteckt werden k?nnen.
D¨¦tails techniques
?bertragungsdetails
Wird m?glicherweise von der folgenden Malware eingeschleust:
Installation
F¨¹gt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgef¨¹hrt wird:
- prkMtx
Autostart-Technik
Registriert sich als Systemdienst, damit sie bei jedem Systemstart automatisch ausgef¨¹hrt wird, indem sie die folgenden Registrierungseintr?ge hinzuf¨¹gt:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\MSNDSRV
Options = "{hex values}"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\MSNDSRV
Config = "MSCFG32.EXE"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\MSNDSRV
Type = "1" --> this entry classifies the file as a kernel device driver
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\MSNDSRV
Start = "2" --> this entry allows the driver to be loaded or started automatically for all startups regardless of of type
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\MSNDSRV
2 = "F|\??\C:\Windows\system32\mscfg32.dll|F|\SystemRoot\system32\SPOOL2|F|\SystemRoot\system32\mslog32.dat|F|\??\C:\Windows\system32\mscfg32.dll"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\MSNDSRV
ErrorControl = "0" --> no error is displayed if the driver can't be loaded or started
Registriert sich als Systemdienst, damit die Ausf¨¹hrung bei jedem Systemstart automatisch erfolgt, indem die folgenden Registrierungsschl¨¹ssel hinzuf¨¹gt werden:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\MSNDSRV
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\MSNDSRV
Andere System?nderungen
F¨¹gt die folgenden Registrierungsschl¨¹ssel hinzu:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Session Manager\MemSubSys
F¨¹gt die folgenden Registrierungseintr?ge hinzu:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Session Manager\MemSubSys
{42E14DD3-F07A-78F1-7659-26AE141569AC-E0B3EE89} = "{hex values}"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Session Manager\MemSubSys
{A0CCDC61-7623-A425-7002-DB81F353945F-5A8ECFAD} = "{hex values}"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Session Manager\MemSubSys
1 = "{hex values}"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Session Manager\MemSubSys
I4 = "{hex values}"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Session Manager\MemSubSys
I1 = "{hex values}"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Session Manager\MemSubSys
I2 = "{hex values}"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Session Manager\MemSubSys
I3 = "{hex values}"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Session Manager\MemSubSys
I5 = "{hex values}"
Rootkit-Funktionen
Verf¨¹gt auch ¨¹ber Rootkit-F?higkeiten, wodurch die eigenen Prozesse und Dateien vor dem Benutzer versteckt werden k?nnen.
Andere Details
Schleust folgende Dateien/Komponenten ein:
- %System%\MSDIRECTX.exe
- %System%\MSCFG32.DLL
- %System%\MSCFG32.EXE
- %System%\drivers\MSNDSRV.SYS
- %User Temp%\INSTV4.BAT
(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)
Solutions
Step 1
F¨¹r Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.
Step 3
Dateien, die als RTKT_DOTTUN.VTH entdeckt wurden, ¨¹ber die Startdiskette oder die Wiederherstellungskonsole erkennen und l?schen
Step 4
Im abgesicherten Modus neu starten
Step 5
Diesen Registrierungsschl¨¹ssel l?schen
Wichtig: Eine nicht ordnungsgem??e Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems f¨¹hren. F¨¹hren Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterst¨¹tzung bitten k?nnen. Lesen Sie ansonsten zuerst diesen , bevor Sie die Registrierung Ihres Computers ?ndern.
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MSNDSRV
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\MSNDSRV
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\MemSubSys
Step 6
Diese Dateien suchen und l?schen
- %System%\MSDIRECTX.exe
- %System%\MSCFG32.DLL
- %System%\MSCFG32.EXE
- %System%\drivers\MSNDSRV.SYS
- %User Temp%\INSTV4.BAT
- %System%\MSDIRECTX.exe
- %System%\MSCFG32.DLL
- %System%\MSCFG32.EXE
- %System%\drivers\MSNDSRV.SYS
- %User Temp%\INSTV4.BAT
Step 7
F¨¹hren Sie den Neustart im normalen Modus durch, und durchsuchen Sie Ihren Computer mit Ihrem live casino online Produkt nach Dateien, die als RTKT_DOTTUN.VTH entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem live casino online Produkt ges?ubert, gel?scht oder in Quarant?ne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarant?ne k?nnen einfach gel?scht werden. Auf dieser finden Sie weitere Informationen.
Participez ¨¤ notre enqu¨ºte!