Trojan-DDoS.Win32.Kozog

Technische Details

Dies ist ein Win32-DDoS-Trojaner (Distributed Denial of Service-Angriff), der im November 2000 von einem Hacker (oder einer Hacker-Gruppe) verbreitet wurde. Der Trojaner wurde als E-Mail-Nachricht mit einer angehängten Datei gesendet.

Der Nachrichtentext und Header sieht folgendermaßen aus:

————————————————– ——

Von: World Travel Agency Ltd [office4@worldtravel.com]
Gesendet: 21. November 2000, 17:31 Uhr]
An: Alle Touristen und Urlauber
Thema: Feiern Sie das neue Jahrtausend!]

Reisebüro der Welt
359 BTC-Laufwerk
Postfach 134108
Seattle, WA 98108-23
USA

Sehr geehrter Herr / Frau

Feiern Sie das neue Jahrtausend! Entdecke das Paradies!

Wir bieten das attraktivste Paket für die New Millenium Feiern, die Sie je gesehen haben.
Natur pur, moderne Architektur und Hightech verbinden sich zu einem perfekten Resort.
Angemessene Preise, Korrektheit, qualitativ hochwertige Dienstleistungen.
Klicken Sie auf die untenstehende Zip-Datei um unser Angebot zu sehen!
Machen Sie Ihre Nachbarn beneiden!

Freundliche Grüße,

————————————————– ——

Die angehängte Datei soll als ZIP-Archiv angezeigt werden, es handelt sich jedoch um eine Windows EXE-Datei mit folgendem Namen:

"ANGEBOT2001.ZIP [viele Leerzeichen] .EXE"

Dies ist ein Trojaner "Installer", der einen Computer beeinflusst, wenn er ausgeführt wird. Wegen eines "Raum" -Tricks wird es in vielen Fällen als .ZIP-Datei angezeigt, was einen Benutzer dazu bringen könnte, es zu öffnen.

Installation

Wenn die EXE-Datei (Trojaner-Installer) ausgeführt wird, extrahiert sie zwei weitere ausführbare Dateien von sich selbst und kopiert sie mit den folgenden Namen in den Windows-System-Director:

MRE.DLL
SOUNDV.EXE

Unter Win9x und WinNT werden diese Dateien dann in den Auto-Run-Abschnitten auf verschiedene Arten registriert: Unter WinNT registriert der Trojaner eine SOUNDV.EXE-Datei in der Systemregistrierung:

SOFTWAREMicrosoftWindowsCurrentVersionRun soundv.exe

Unter Win9x wird die DLL-Datei in der Datei SYSTEM.INI in dem folgenden Abschnitt [Boot] registriert:

Treiber = mre.dll

Der Trojaner zeigt dann die folgende falsche Fehlermeldung an:

Error
Eine benötigte DLL existiert nicht.

(Der Grammatikfehler bleibt so wie im Trojanischen Code).

Die SOUNDV.EXE ist der DoS-Trojaner selbst. Die MRE.DLL ist ein kleines Programm, das SOUNDV.EXE bei jedem Ausführen nur ausführt. Daher wird die SOUNDV.EXE-Komponente unter Win9x und WinNT aktiviert.

DoS Angriff

Wenn diese Datei ausgeführt wird (beim nächsten Windows-Neustart), bleibt sie als versteckte Anwendung (Dienst) aktiv, dann aktiviert sie die automatische Wahlmöglichkeit in den Interneteinstellungen und führt dann eine DoS-Attacke auf dem Server "kozirog.netissat" durch .Netz".