DIESER SERVICE KANN ÜBERSETZUNGEN VON GOOGLE ENTHALTEN. GOOGLE ÜBERNIMMT KEINERLEI VERANTWORTUNG FÜR DIE ÜBERSETZUNGEN. DARUNTER FÄLLT JEGLICHE VERANTWORTUNG IN BEZUG AUF RICHTIGKEIT UND ZUVERLÄSSIGKEIT SOWIE JEGLICHE STILLSCHWEIGENDEN GEWÄHRLEISTUNGEN DER MARKTGÄNGIGKEIT, NICHT-VERLETZUNG VON RECHTEN DRITTER ODER DER EIGNUNG FÜR EINEN BESTIMMTEN ZWECK.

Die Website von Kaspersky Lab wurde für Ihre Bequemlichkeit mithilfe einer Übersetzungssoftware von Google Translate übersetzt. Es wurden angemessene Bemühungen für die Bereitstellung einer akkuraten Übersetzung unternommen. Bitte beachten Sie, dass automatisierte Übersetzungen nicht perfekt sind und menschliche Übersetzer in keinem Fall ersetzen sollen. Übersetzungen werden den Nutzern der Kaspersky-Lab-Website als Service und "wie sie sind" zur Verfügung gestellt. Die Richtigkeit, Zuverlässigkeit oder Korrektheit jeglicher Übersetzungen aus dem Englischen in eine andere Sprache wird weder ausdrücklich noch stillschweigend garantiert. Einige Inhalte (z. B. Bilder, Videos, Flash, usw.) können aufgrund der Einschränkungen der Übersetzungssoftware möglicherweise nicht inhaltsgetreu übersetzt werden.

Trojan-DDoS.Win32.Kozog

Kategorie Trojan-DDoS
Plattform Win32
Beschreibung

Technische Details

Dies ist ein Win32-DDoS-Trojaner (Distributed Denial of Service-Angriff), der im November 2000 von einem Hacker (oder einer Hacker-Gruppe) verbreitet wurde. Der Trojaner wurde als E-Mail-Nachricht mit einer angehängten Datei gesendet.

Der Nachrichtentext und Header sieht folgendermaßen aus:

————————————————– ——

Von: World Travel Agency Ltd [office4@worldtravel.com]
Gesendet: 21. November 2000, 17:31 Uhr]
An: Alle Touristen und Urlauber
Thema: Feiern Sie das neue Jahrtausend!]

Reisebüro der Welt
359 BTC-Laufwerk
Postfach 134108
Seattle, WA 98108-23
USA

Sehr geehrter Herr / Frau

Feiern Sie das neue Jahrtausend! Entdecke das Paradies!

Wir bieten das attraktivste Paket für die New Millenium Feiern, die Sie je gesehen haben.
Natur pur, moderne Architektur und Hightech verbinden sich zu einem perfekten Resort.
Angemessene Preise, Korrektheit, qualitativ hochwertige Dienstleistungen.
Klicken Sie auf die untenstehende Zip-Datei um unser Angebot zu sehen!
Machen Sie Ihre Nachbarn beneiden!

Freundliche Grüße,

————————————————– ——

Die angehängte Datei soll als ZIP-Archiv angezeigt werden, es handelt sich jedoch um eine Windows EXE-Datei mit folgendem Namen:

"ANGEBOT2001.ZIP [viele Leerzeichen] .EXE"

Dies ist ein Trojaner "Installer", der einen Computer beeinflusst, wenn er ausgeführt wird. Wegen eines "Raum" -Tricks wird es in vielen Fällen als .ZIP-Datei angezeigt, was einen Benutzer dazu bringen könnte, es zu öffnen.

Installation

Wenn die EXE-Datei (Trojaner-Installer) ausgeführt wird, extrahiert sie zwei weitere ausführbare Dateien von sich selbst und kopiert sie mit den folgenden Namen in den Windows-System-Director:

MRE.DLL
SOUNDV.EXE

Unter Win9x und WinNT werden diese Dateien dann in den Auto-Run-Abschnitten auf verschiedene Arten registriert: Unter WinNT registriert der Trojaner eine SOUNDV.EXE-Datei in der Systemregistrierung:

SOFTWAREMicrosoftWindowsCurrentVersionRun soundv.exe

Unter Win9x wird die DLL-Datei in der Datei SYSTEM.INI in dem folgenden Abschnitt [Boot] registriert:

Treiber = mre.dll

Der Trojaner zeigt dann die folgende falsche Fehlermeldung an:

Error
Eine benötigte DLL existiert nicht.

Eine benötigte DLL existiert nicht

(Der Grammatikfehler bleibt so wie im Trojanischen Code).

Die SOUNDV.EXE ist der DoS-Trojaner selbst. Die MRE.DLL ist ein kleines Programm, das SOUNDV.EXE bei jedem Ausführen nur ausführt. Daher wird die SOUNDV.EXE-Komponente unter Win9x und WinNT aktiviert.

DoS Angriff

Wenn diese Datei ausgeführt wird (beim nächsten Windows-Neustart), bleibt sie als versteckte Anwendung (Dienst) aktiv, dann aktiviert sie die automatische Wahlmöglichkeit in den Interneteinstellungen und führt dann eine DoS-Attacke auf dem Server "kozirog.netissat" durch .Netz".


Link zum Original