 |
Technische Beschreibung:
|
KillAV.FG führt folgende Aktionen aus:
Er versucht Prozesse zu beenden (wenn diese Aktiv sind):
avciman.exe, avengine.exe, avp.exe, ca.exe, caissdt.exe, cavrid.exe, cavtray.exe,
ccapp.exe, ccetvmgr.exe, ccproxy.exe, ccsetmgr.exe, dpasnt.exe, firewallntservice.exe,
fsaw.exe, fsguidll.exe, fsm32.exe, fspex.exe, hsockpe.exe, isafe.exe, kav.exe,
kavpf.exe, mcagent.exe, mcdetect.exe, mcshield.exe, mctskshd.exe, mcupdate.exe,
mcupdmgr.exe, mcvsescn.exe, mcvsshld.exe, mpeng.exe, mpfagent.exe, mpfservice.exe,
mpftray.exe, msascui.exe, mscifapp.exe, mscorsvw.exe, msfwsvc.exe, mskagent.exe,
msksrvr.exe, msmpsvc.exe, msmsgs.exe, mxtask.exe, navapsvc.exe, nscsrvce.exe,
oasclnt.exe, pavfnsvr.exe, pavprsrv.exe, pavsrv51.exe, pnmsrv.exe, psimsvc.exe,
pskmssvc.exe, sdhelp.exe, sndsrvc.exe, spbbcsvc.exe, spysweeper.exe, spysweeperui.exe,
srvload.exe, ssu.exe, swdoctor.exe, symlcsvc.exe, tpsrv.exe, tsantispy.exe,
vir.exe,vrfwsvc.exe, vrmonnt.exe, vrmonsvc.exe, vsmon.exe, wad-watch.exe, wdfdataservice.exe,
webproxy.exe, webrootdesktopfirewall.exe, winssnotify.exe, wmiprvse.exe, zlclient.exe.
Diese Systemprozesse gehören zu den unterschiedlichsten Sicherheitstools,
als auch zu Prozessen von Antivirenprogrammen (z.B. KAV.exe = Kaspersky Anti
Virus)
Der Trojaner verbindet sich mit einem Server. Über diese Verbindung versucht
der Angreifer den infizierten Computer fern zu steuern via Remote-Control.
Art der Infektion:
KillAV.FG generiert folgende Dateien:
LSASS.EXE - im Windows Systemordner. Diese Datei ist eine Kopie des Trojaners
selbst.
ABC123.PID - im Unterordner IHRCOMPUTERNAME\lokale Einstellungen\Temp innerhalb
des "Dokumente und Einstellungen" Ordners.
TIME[1].TXT - in den unterschiedlichsten Unterordnern der "Temporary Internet
Files".
KillAV.FG versucht existierende Dateien mit Kopien von sich selbst in der Windows
Registry zu überschreiben. Das hinterhältige dabei ist, dass diese
neu generierten Einträge dieselben Namen verwendet, wie die originalen
Dateien/Einträge.
HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Run
Desweiteren generiert dieser Trojaner einen Unterordner, der sich BAK nennt
um dort die Original Dateien hinein zu verschieben, da diese Originale zum fehlerfreien
Betriebs des Computers benötigt werden.
Indem er das tut, stellt KillAV.FG fest, dass er immer dann mit geladen wird,
alsbald auch Windows geladen wird.
KillAV.FG generiert folgende Einträge in der Windows Registry:
HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Run
Lexmark_X79-55 = SYSTEMORDNER\lsass.exe
HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Internet Settings\
ZoneMap\ Ranges\ me
= 02, 00, 00, 00
HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Internet Settings\
ZoneMap\ Ranges\ me
Range = 88.80.5.21
HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Internet Settings\
Zones\ 2
1206 = 00, 00, 00, 00
HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Internet Settings\
Zones\ 2
1806 = 00, 00, 00, 00
HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Internet Settings\
Zones\ 2
1807 = 00, 00, 00, 00
HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Internet Settings\
Zones\ 2
1808 = 00, 00, 00, 00
HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Internet Settings\
Zones\ 2
1809 = 03, 00, 00, 00
HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Internet Settings\
Zones\ 2
2000 = 00, 00, 00, 00
HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Internet Settings\
Zones\ 2
2001 = 00, 00, 00, 00
HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Internet Settings\
Zones\ 2
2004 = 00, 00, 00, 00
HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Internet Settings\
Zones\ 2
2100 = 00, 00, 00, 00
HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Internet Settings\
Zones\ 2
2101 = 01, 00, 00, 00
HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Internet Settings\
Zones\ 2
2102 = 00, 00, 00, 00
HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Internet Settings\
Zones\ 2
2200 = 00, 00, 00, 00
HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Internet Settings\
Zones\ 2
2201 = 00, 00, 00, 00
HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Internet Settings\
Zones\ 2
2300 = 01, 00, 00, 00
By creating these entries, KillAV.FG reduces the security when browsing through
the Internet.
[ Zurück zum Anfang ]
|
