|
|
Viren : Virenkatalog
A
B
C
D
E
F
G
H
I
J
K
L
M
N
O
P
Q
R
S
T
U
V
W
X
Y
Z
0-9
Trojan.Dumaru.X
Alias: Troj/Dumaru-X
Trojan.Dumaru.X ist ein Backdoor-Trojaner, der Passwörter stiehlt und sich als prnta.exe
und prntc.exe in den Windows-Systemordner und mit dem Dateinamen prntb.exe in den
Autostart-Ordner kopiert.
Es werden folgende Registrierungseinträge erstellt:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\
load32 = C:\WINDOWS\\prnta.exe
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\
Shell= explorer.exe C:\WINDOWS\\prntc.exe
Außerdem werden noch folgende Dateien angelegt:
prntc.log Protokolldateien
prntk.log Protokolldateien
prntsvr.dll speichert Tastenfolgen
fa4537ef.tmp
feff35a0.htm
Trojan.Dumaru.X versucht sich mit der Web-Seite "http://govno.ws" zu verbinden und die
gestohlenen Daten in einer HTML-Datei als feff35a0.htm oder in einer E-Mail als
fa4537ef.tmp zu versenden, wobei es sich bei der E-Mail um eine MIME-E-Mail handelt.
Trojan.Dumaru.X legt eine Textdatei namens HOSTS in C:\\drivers\etc an.
Dese enthält Namen von Antiviren- und anderen Sicherheits-Websites, die mit der
IP-Adresse 127.0.0.1 verknüpft sind und dadurch der Zugriff auf diese Webseiten
unmöglich gemacht wird:
127.0.0.1 www.trendmicro.com
127.0.0.1 trendmicro.com
127.0.0.1 rads.mcafee.com
127.0.0.1 customer.symantec.com
127.0.0.1 liveupdate.symantec.com
127.0.0.1 us.mcafee.com
127.0.0.1 updates.symantec.com
127.0.0.1 update.symantec.com
127.0.0.1 www.nai.com
127.0.0.1 nai.com
127.0.0.1 secure.nai.com
127.0.0.1 dispatch.mcafee.com
127.0.0.1 download.mcafee.com
127.0.0.1 www.my-etrust.com
127.0.0.1 my-etrust.com
127.0.0.1 mast.mcafee.com
127.0.0.1 ca.com
127.0.0.1 www.ca.com
127.0.0.1 networkassociates.com
127.0.0.1 www.networkassociates.com
127.0.0.1 avp.com
127.0.0.1 www.kaspersky.com
127.0.0.1 www.avp.com
127.0.0.1 kaspersky.com
127.0.0.1 www.f-secure.com
127.0.0.1 f-secure.com
127.0.0.1 viruslist.com
127.0.0.1 www.viruslist.com
127.0.0.1 liveupdate.symantecliveupdate.com
127.0.0.1 mcafee.com
127.0.0.1 www.mcafee.com
127.0.0.1 sophos.com
127.0.0.1 www.sophos.com
127.0.0.1 symantec.com
127.0.0.1 securityresponse.symantec.com
127.0.0.1 www.symantec.com
Entfernung:
Sperren Sie die System-Wiederherstellung (Windows Me/XP).
Aktualisieren Sie die Virusdefinitionen.
Löschen Sie den Wert in der Registry.
Bearbeiten der Registrierungseinträge:
Klicken Sie in der Taskleiste auf Start|Ausführen. Geben Sie "Regedit" ein und drücken Sie Enter. Es öffnet sich der Registrierungseditor.
Suchen Sie unter HKEY_LOCAL_MACHINE die Einträge:
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\shell
Löschen Sie die Einträge, sofern sie existieren.
Schließen Sie den Registrierungseditor.
Ändern Sie alle Kennwörter, die möglicherweise gestohlen wurden.
|
|
Linktipps: Tetris Spiel
|
|
|
|
