Trojan-PSW.Win32.Widget

Technische Details

Dies ist ein Passwort und WebMoney-Information stehlen Trojaner-Programm mit der Fähigkeit, seine "Upgrades" von Internet-Websites herunterladen und sich durch seine neuen Versionen zu ersetzen. Der Trojaner wurde in Freeware-Games-Pakete implementiert und im Mai 2001 auf diese Weise verbreitet.

Da sich der Trojaner von Internetwebsites "upgraden" kann, sind die folgenden Informationen möglicherweise nicht vollständig korrekt für noch unbekannte Trojanerversionen.

Installation

Wenn der Trojaner ausgeführt wird, kopiert er sich mit dem Namen TASKSVR32.EXE in das Windows-Systemverzeichnis und registriert sich im Registrierungsschlüssel für die Registrierungsautorisierung:

HKLMSoftwareMicrosoftWindowsCurrentVersionRun Microsoft Task-Manager = tasksvr32.exe

Wenn beim Erstellen dieses Schlüssels ein Fehler auftritt (der aktuelle Benutzer hat keinen Zugriff auf HKLM-Schlüssel), registriert sich der Trojaner im Schlüssel HKCU:

HKCUSoftwareMicrosoftWindowsCurrentVersionRun Microsoft Task-Manager = tasksvr32.exe

Der Trojaner erstellt dann im Windows-Systemverzeichnis den DLL-Dateihelfer COOLX.DLL. Die ursprüngliche Trojaner-Datei (von der der Trojaner gestartet wurde) wird dann gelöscht.

Der Trojaner erstellt auch weitere Registrierungsschlüssel und schreibt hexadezimale Werte dort:

HKCUSoftwareMicrosoftDirectX
DRMInstallFocus =% hex valie%; Diese vier Schlüssel sind
DRMInstallPlace =% hex valie%; Systemzeit beim Trojaner
DRMUpdateFocus =% hex valie%; installiert sich selbst
DRMUpdatePlace =% hex valie%; zum System
DRMVersion =% hex valie%; Trojaner-Version

Der Trojaner bleibt dann als versteckter Dienstprozess im Windows-Speicher und ist bis zum Neustart von Windows aktiv.

Gestohlene Informationen

Der Trojaner sendet seinem Autor die folgenden Informationen von einem infizierten Computer:

Computername
Nutzername
RegisteredOwner- und RegisteredOrganization-Zeichenfolgen
Installierte Hardwareinformationen
Netzwerkressourcen mit Zugriffsmodus
IP Adresse
RAS-Informationen, zwischengespeicherte Kennwörter
andere Internet-Zugangsdaten und Passwörter
ICQ Benutzerinformationen
WebMoney Informationen und Datendateien

Aktualisierung

Abhängig von verschiedenen Bedingungen ruft der Trojaner Dateien von Internet-Sites ab, lädt sie in das temporäre Windows-Verzeichnis mit dem Namen RTTY32.EXE und erstellt ihn. Diese Dateien sind die nächsten Trojaner-Versionen und haben möglicherweise eine verbesserte Funktionalität.

Bekannte Trojanerversionen laden Dateien von den folgenden Seiten herunter:

sfavp.chat.ru/update
widpage.chat.ru/update

Andere

Einige bekannte Versionen auch: