Trojan-Spy.Win32.Stonari

Hauptgruppierung: TrojWare

Trojaner sind schädliche Programme, die Aktionen ausführen, die vom Benutzer nicht autorisiert sind: Sie löschen, blockieren, ändern oder kopieren Daten und stören die Leistung von Computern oder Computernetzwerken. Im Gegensatz zu Viren und Würmern können die Bedrohungen, die in diese Kategorie fallen, keine Kopien von sich selbst erstellen oder sich selbst replizieren.

Trojaner werden nach ihrer Aktion auf einem infizierten Computer klassifiziert.

Kategorie: Trojan-Spy

Trojaner-Spy-Programme werden verwendet, um die Aktionen eines Benutzers auszuspionieren (über die Tastatur eingegebene Daten zu verfolgen, Screenshots zu erstellen, eine Liste laufender Anwendungen abzurufen usw.) Die gesammelten Informationen werden dann an den böswilligen Benutzer übertragen, der den Trojaner kontrolliert. E-Mail, FTP, das Web (einschließlich Daten in einer Anfrage) und andere Methoden können verwendet werden, um die Daten zu übertragen.

Mehr Informationen

Plattform: Win32

Win32 ist eine API auf Windows NT-basierten Betriebssystemen (Windows XP, Windows 7 usw.), die die Ausführung von 32-Bit-Anwendungen unterstützt. Eine der am weitesten verbreiteten Programmierplattformen der Welt.

Beschreibung

Technische Details

Dieses Trojaner-Spionageprogramm sammelt vertrauliche Informationen. Es ist eine Windows PE EXE-Datei. Es ist in Borland Delphi geschrieben. Es ist 289.280 Bytes groß. Es wird mit AsPack gepackt. Die entpackte Datei ist ungefähr 704 KB groß.

Installation

Der Trojaner erstellt die folgenden Systemregistrierungsschlüssel:

 [HKCRSoftwareMicrosoftmicroware][HKLMSoftwarestonari] 

Um sicherzustellen, dass der Trojaner beim Systemneustart automatisch gestartet wird, registriert der Trojaner seine ausführbare Datei in der Systemregistrierung:

Trojan ändert den folgenden Systemregistrierungsschlüsselwert:

 [HKCRexefileshellopencommand]"  % 1% * " 

Nutzlast

Der Trojaner nimmt Screenshots und sammelt Informationen über Tastenanschläge und Mausereignisse.

Der Trojaner speichert die geernteten Daten in der folgenden Datei:

 % System% setpass.dat 

und sendet es an die E-Mail-Adresse des entfernten böswilligen Benutzers.

Der Wurm verwendet den folgenden SMTP-Server, um geerntete Daten zu senden:

 smtp.163.net 

(Dieser Trojaner enthält in Chinesisch geschriebene Informationen.)

Anweisungen zum Entfernen

Wenn Ihr Computer über kein aktuelles Antivirenprogramm verfügt oder über keine Antivirussoftware verfügt, führen Sie die folgenden Schritte aus, um das schädliche Programm zu löschen:

1. Verwenden Sie den Task-Manager, um den Trojanerprozess zu beenden.
2. Löschen Sie die folgenden Registrierungsschlüssel:

    [HKCRSoftwareMicrosoftmicroware][HKLMSoftwarestonari] 

3. Löschen Sie die Links zu dem Trojaner aus den folgenden Systemregistrierungsschlüsseln:
   [HKLMSoftwareMicrosoftWindowsCurrentVersionRun]
   [HKLMSoftwareMicrosoftWindowsCurrentVersionRunServices]
4. Löschen Sie die ursprüngliche Trojaner-Datei (die Position hängt davon ab, wie das Programm ursprünglich den Opfercomputer durchdrungen hat).
5. Löschen Sie die vom Trojaner erstellte Datei:

    % System% setpass.dat 

6. Stellen Sie den folgenden Registrierungsschlüssel wieder her:

    [HKCRexefileshellopencommand]"% 1% *" 

7. Aktualisieren Sie Ihre Antiviren-Datenbanken und führen Sie eine vollständige Überprüfung des Computers durch ( laden Sie eine Testversion von Kaspersky Anti-Virus herunter ).

Mehr erfahren

Informieren Sie sich über die Statistiken der in Ihrer Region verbreiteten Sicherheitslücken statistics.securelist.com