TR/Agent.AGNY - Trojan

Siehe auch Deutsch

Kurzfassung

Vollständig

Statistik

Name:	TR/Agent.AGNY
Entdeckt am:	24/01/2008
Art:	Trojan
In freier Wildbahn:	Ja
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig bis mittel
Schadenspotenzial:	Niedrig bis mittel
Statische Datei:	Ja
Dateigröße:	205.449 Bytes
MD5 Prüfsumme:	0A834d4813f7b44024b2e68d20957aee
IVDF Version:	7.00.02.41 - Thu, 24 Jan 2008 12:12 (GMT+1)

General Verbreitungsmethode:
   • Gemappte Netzlaufwerke

Aliases:
   • Mcafee: W32/Autorun.worm.g
   • Kaspersky: Trojan-Downloader.Win32.Agent.hzy
   • F-Secure: Trojan-Downloader.Win32.Agent.hzy
   • Eset: Win32/AutoRun.HL
   • Bitdefender: Trojan.Agent.AGNY

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Erstellt Dateien
   • Setzt Sicherheitseinstellungen herunter

Dateien Kopien seiner selbst werden hier erzeugt:
   • c:\windows\system\lsass.exe
   • C:\RECYCLER\Recycler\AutoLaunch.exe
   • %TEMPDIR%\services.exe

Es wird folgendes Verzeichnis erstellt:
   • %TEMPDIR%\WinSecurityUpd

Es werden folgende Dateien erstellt:

– drive:\autorun.inf Diese Datei ist eine nicht virulente Textdatei mit folgendem Inhalt:
   •

– %TEMPDIR%\WinSecurityUpd\ms_auto Diese Datei ist eine nicht virulente Textdatei mit folgendem Inhalt:
   •

– %TEMPDIR%\WinSecurityUpd\ms_drvlst Diese Datei ist eine nicht virulente Textdatei mit folgendem Inhalt:
   • ABCDEFGHIJKLMNOPQRSTUVWXYZ

– %TEMPDIR%\WinSecurityUpd\udpate~1.tmp Diese Datei ist eine nicht virulente Textdatei mit folgendem Inhalt:
   • file

– %TEMPDIR%\csrss.bat Diese Datei ist eine nicht virulente Textdatei mit folgendem Inhalt:
   • %TEMPDIR%\csrss.bat

– %TEMPDIR%\ltmpp.bat Des weiteren wird sie ausgeführt nachdem sie vollständig erstellt wurde. Diese Batchdatei wird genutzt um eine Datei zu löschen.
– %TEMPDIR%\lsassexe.bat Des weiteren wird sie ausgeführt nachdem sie vollständig erstellt wurde. Diese Batchdatei wird genutzt um eine Datei zu löschen.

Es versucht folgende Dateien auszuführen:

– Dateiname:
   • %SYSDIR%\netsh.exe
unter Zuhilfenahme folgender Kommandozeilen-Parameter: firewall set opmode disable

– Dateiname:
   • %SYSDIR%\cmd.exe
unter Zuhilfenahme folgender Kommandozeilen-Parameter: /c if exist %TEMPDIR%\csrss.bat call %TEMPDIR%\csrss.bat

– Dateiname:
   • %SYSDIR%\ping.exe
unter Zuhilfenahme folgender Kommandozeilen-Parameter: google.com > %TEMPDIR%\ping2.log

Datei Einzelheiten Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit folgendem Laufzeitpacker gepackt:
• UPX

Kurzfassung hier.

Beschreibung erstellt von Andrei Gherman am Thu, 19 Jun 2008 09:49 (GMT+1)
Beschreibung geändert von Andrei Gherman am Thu, 19 Jun 2008 10:10 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück