DIESER SERVICE KANN ÜBERSETZUNGEN VON GOOGLE ENTHALTEN. GOOGLE ÜBERNIMMT KEINERLEI VERANTWORTUNG FÜR DIE ÜBERSETZUNGEN. DARUNTER FÄLLT JEGLICHE VERANTWORTUNG IN BEZUG AUF RICHTIGKEIT UND ZUVERLÄSSIGKEIT SOWIE JEGLICHE STILLSCHWEIGENDEN GEWÄHRLEISTUNGEN DER MARKTGÄNGIGKEIT, NICHT-VERLETZUNG VON RECHTEN DRITTER ODER DER EIGNUNG FÜR EINEN BESTIMMTEN ZWECK.

Die Website von Kaspersky Lab wurde für Ihre Bequemlichkeit mithilfe einer Übersetzungssoftware von Google Translate übersetzt. Es wurden angemessene Bemühungen für die Bereitstellung einer akkuraten Übersetzung unternommen. Bitte beachten Sie, dass automatisierte Übersetzungen nicht perfekt sind und menschliche Übersetzer in keinem Fall ersetzen sollen. Übersetzungen werden den Nutzern der Kaspersky-Lab-Website als Service und "wie sie sind" zur Verfügung gestellt. Die Richtigkeit, Zuverlässigkeit oder Korrektheit jeglicher Übersetzungen aus dem Englischen in eine andere Sprache wird weder ausdrücklich noch stillschweigend garantiert. Einige Inhalte (z. B. Bilder, Videos, Flash, usw.) können aufgrund der Einschränkungen der Übersetzungssoftware möglicherweise nicht inhaltsgetreu übersetzt werden.

Trojan-PSW.Win32.Widget

Kategorie Trojan-PSW
Plattform Win32
Beschreibung

Technische Details

Dies ist ein Passwort und WebMoney-Information stehlen Trojaner-Programm mit der Fähigkeit, seine "Upgrades" von Internet-Websites herunterladen und sich durch seine neuen Versionen zu ersetzen. Der Trojaner wurde in Freeware-Games-Pakete implementiert und im Mai 2001 auf diese Weise verbreitet.

Da sich der Trojaner von Internetwebsites "upgraden" kann, sind die folgenden Informationen möglicherweise nicht vollständig korrekt für noch unbekannte Trojanerversionen.

Installation

Wenn der Trojaner ausgeführt wird, kopiert er sich mit dem Namen TASKSVR32.EXE in das Windows-Systemverzeichnis und registriert sich im Registrierungsschlüssel für die Registrierungsautorisierung:

HKLMSoftwareMicrosoftWindowsCurrentVersionRun Microsoft Task-Manager = tasksvr32.exe

Wenn beim Erstellen dieses Schlüssels ein Fehler auftritt (der aktuelle Benutzer hat keinen Zugriff auf HKLM-Schlüssel), registriert sich der Trojaner im Schlüssel HKCU:

HKCUSoftwareMicrosoftWindowsCurrentVersionRun Microsoft Task-Manager = tasksvr32.exe

Der Trojaner erstellt dann im Windows-Systemverzeichnis den DLL-Dateihelfer COOLX.DLL. Die ursprüngliche Trojaner-Datei (von der der Trojaner gestartet wurde) wird dann gelöscht.

Der Trojaner erstellt auch weitere Registrierungsschlüssel und schreibt hexadezimale Werte dort:

HKCUSoftwareMicrosoftDirectX
DRMInstallFocus =% hex valie%; Diese vier Schlüssel sind
DRMInstallPlace =% hex valie%; Systemzeit beim Trojaner
DRMUpdateFocus =% hex valie%; installiert sich selbst
DRMUpdatePlace =% hex valie%; zum System
DRMVersion =% hex valie%; Trojaner-Version

Der Trojaner bleibt dann als versteckter Dienstprozess im Windows-Speicher und ist bis zum Neustart von Windows aktiv.

Gestohlene Informationen

Der Trojaner sendet seinem Autor die folgenden Informationen von einem infizierten Computer:

Computername
Nutzername
RegisteredOwner- und RegisteredOrganization-Zeichenfolgen
Installierte Hardwareinformationen
Netzwerkressourcen mit Zugriffsmodus
IP Adresse
RAS-Informationen, zwischengespeicherte Kennwörter
andere Internet-Zugangsdaten und Passwörter
ICQ Benutzerinformationen
WebMoney Informationen und Datendateien

Aktualisierung

Abhängig von verschiedenen Bedingungen ruft der Trojaner Dateien von Internet-Sites ab, lädt sie in das temporäre Windows-Verzeichnis mit dem Namen RTTY32.EXE und erstellt ihn. Diese Dateien sind die nächsten Trojaner-Versionen und haben möglicherweise eine verbesserte Funktionalität.

Bekannte Trojanerversionen laden Dateien von den folgenden Seiten herunter:

sfavp.chat.ru/update
widpage.chat.ru/update

Andere

Einige bekannte Versionen auch:

  • überschreiben Sie die C: AUTOEXEC.BAT-Datei mit einem "Format C:" Trojaner-Programm.
  • Führen Sie den Internet Explorer aus und öffnen Sie eine der folgenden Seiten:

    http://vrs.ru
    http://ebooks.vov.ru
    http://3.ozonebooks.com

  • Führen Sie den DoS-Angriff auf http://www.ibm.com aus

  • Link zum Original