|
|
Viren : Virenkatalog
A
B
C
D
E
F
G
H
I
J
K
L
M
N
O
P
Q
R
S
T
U
V
W
X
Y
Z
0-9
Trojan.Dumaru.AJ
Alias: Troj/Dumaru-AJ, Backdoor.Dumador.af, W32/Dumaru.al.dll trojan
Trojan.Dumaru.AJ ist ein W32-Wurm, der sich remote über IRC-Kanäle verbreitet.
Wenn das lokale Netzwerk nicht durch ausreichende Kennwörter geschützt ist, kopiert sich
Trojan.Dumaru.AJ remote über IRC-Kanäle.
Es werden folgende Registrierungseinträge erstellt:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\
load32 = C:\WINDOWS\System32\netda.exe
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\
Winlogon\Shell=explorer.exe
Trojan.Dumaru.AJ kopiert sich selbst als:
C:\Documents and Settings/repclient1/Start Menu/Programs/Startup/netdb.exe
C:\windows\system32\netda.exe
C:\windows\system32\netdc.exe
C:\windows\prntsvr.dll
Trojan.Dumaru.AJ öffnet Port 23684 und 10000 und kann eine Textdatei namens HOSTS
in C:\\drivers\etc angelegt werden. Diese enthält Namen von Antiviren-
und anderen Sicherheits-Websites, die mit der IP-Adresse 127.0.0.1 verknüpft sind und
dadurch der Zugriff auf diese Webseiten unmöglich gemacht wird:
127.0.0.1 www.trendmicro.com
127.0.0.1 trendmicro.com
127.0.0.1 rads.mcafee.com
127.0.0.1 customer.symantec.com
127.0.0.1 liveupdate.symantec.com
127.0.0.1 us.mcafee.com
127.0.0.1 updates.symantec.com
127.0.0.1 update.symantec.com
127.0.0.1 www.nai.com
127.0.0.1 nai.com
127.0.0.1 secure.nai.com
127.0.0.1 dispatch.mcafee.com
127.0.0.1 download.mcafee.com
127.0.0.1 www.my-etrust.com
127.0.0.1 my-etrust.com
127.0.0.1 mast.mcafee.com
127.0.0.1 ca.com
127.0.0.1 www.ca.com
127.0.0.1 networkassociates.com
127.0.0.1 www.networkassociates.com
127.0.0.1 avp.com
127.0.0.1 www.kaspersky.com
127.0.0.1 www.avp.com
127.0.0.1 kaspersky.com
127.0.0.1 www.f-secure.com
127.0.0.1 f-secure.com
127.0.0.1 viruslist.com
127.0.0.1 www.viruslist.com
127.0.0.1 liveupdate.symantecliveupdate.com
127.0.0.1 mcafee.com
127.0.0.1 www.mcafee.com
127.0.0.1 sophos.com
127.0.0.1 www.sophos.com
127.0.0.1 symantec.com
127.0.0.1 securityresponse.symantec.com
127.0.0.1 www.symantec.com
Entfernung:
Sperren Sie die System-Wiederherstellung (Windows Me/XP).
Aktualisieren Sie die Virusdefinitionen.
Löschen Sie den Wert in der Registry.
Bearbeiten der Registrierungseinträge:
Klicken Sie in der Taskleiste auf Start|Ausführen. Geben Sie "Regedit" ein und drücken Sie Enter. Es öffnet sich der Registrierungseditor.
Suchen Sie unter HKEY_LOCAL_MACHINE die Einträge:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\
load32 = C:\WINDOWS\System32\netda.exe
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\
Winlogon\Shell=explorer.exe
Löschen Sie die Einträge, sofern sie existieren.
Schließen Sie den Registrierungseditor.
Ändern Sie alle Kennwörter, die möglicherweise gestohlen wurden.
|
|
Linktipps: MPU
|
|
|
|
