Wie arbeiten diese Trojaner?

[HorstG]

Hallo und Guten Tag.
Ich bin Horst und schon etwas ÄLTER....
Aber eigentlich beim PC kein Noob.


Ich fragte einen Kollegen nach einer XxXXXxx.Soft.
Er gab mir eine Datei nach einigen Tagen ....Aus den Weiten des WWW....so sagte er..hm....soweit so gut.
Mein PC wird geschützt von Gdata IS 2007 und habe seit Jahren KEINE Viren ,
Würmer,Trojaner etc....

Und NUR Org. Software,bis auf die ,die ich Gestern erst bekommen hab.!!!!

Beim Entpacken gingen die Alarmglocken von Gdata los. Geblockt...
Endlich macht sich die Gdata mal bezahlt..dachte schon ich FANGE nie was..
ICh möchte eigentlich NUR wissen wie oder was genau die Bösen Files machen !
Kann mann heraus bekommen,wer der Böse Empfänger der Daten ist. Mit
Ethereal z.B .??

Als Anhang das Protokoll von Gdata....und solltet Ihr der Meinung sein....
das eine Aufklärung dazu dienen könne das jemand damit Mist baut...sagt es ehrlich..dann muss ich mich damit abfinden.

Danke schon mal HorstG

P.S.Was Emule ,Torent,etc sind ..ist mir schon klar ,aber nutze alle sammt nicht

Leider kan ich kein Dateianhang wählen..... ?( Dann eben SO...

Virenprüfung mit AntiVirenKit
Version 17.0.6254
Virensignaturen vom 04.02.2007
Startzeit: 04.02.2007 15:10
Engine(s): Engine A (AVK 17.2463), Engine B (AVKB 17.125)
Heuristik: Ein
Archive: Ein
Systembereiche: Ein

Prüfung der Systembereiche...
Prüfung ausgewählter Verzeichnisse und Dateien...
Objekt: data.rar NortonPID.hlp
In Archiv: C:\setup\setup.exe
Status: Virus gefunden
Virus: Backdoor.IRC.Zapchast (Engine A)
Objekt: data.rar OS32.ini
In Archiv: C:\setup\setup.exe
Status: Virus gefunden
Virus: IRC-Worm.IRC.Froze (Engine A)
Objekt: data.rar pnc.exe
In Archiv: C:\setup\setup.exe
Status: Virus gefunden
Virus: not-a-virus:RemoteAdmin.Win32.NetCat (Engine A)
Objekt: data.rar ret.bat
In Archiv: C:\setup\setup.exe
Status: Virus gefunden
Virus: Trojan.BAT.Zapchast (Engine A)
Objekt: data.rar smnt.exe
In Archiv: C:\setup\setup.exe
Status: Virus gefunden
Virus: not-a-virus:RiskTool.Win32.HideWindows (Engine A)
Objekt: data.rar spsexec.exe
In Archiv: C:\setup\setup.exe
Status: Virus gefunden
Virus: not-a-virus:RiskTool.Win32.PsExec.13 (Engine A)
Objekt: data.rar WINClock.exe
In Archiv: C:\setup\setup.exe
Status: Virus gefunden
Virus: not-a-virus:Client-IRC.Win32.mIRC.507 (Engine A)
Objekt: data.rar winhelper.exe
In Archiv: C:\setup\setup.exe
Status: Virus gefunden
Virus: not-a-virus:RiskTool.Win32.HideWindows (Engine A)
Objekt: data.rar WinOS.hlp
In Archiv: C:\setup\setup.exe
Status: Virus gefunden
Virus: Backdoor.IRC.Cloner (Engine A)
Objekt: setup.exe
Pfad: C:\setup
Status: Virus gefunden
Virus: Backdoor.IRC.Zapchast, IRC-Worm.IRC.Froze, not-a-virus:RemoteAdmin.Win32.NetCat, Trojan.BAT.Zapchast, not-a-virus:RiskTool.Win32.HideWindows (2x), not-a-virus:RiskTool.Win32.PsExec.13, not-a-virus:Client-IRC.Win32.mIRC.507, Backdoor.IRC.Cloner (Engine A)
Analyse vollständig durchgeführt: 04.02.2007 15:10
1 Dateien überprüft
1 infizierte Dateien gefunden
0 verdächtige Dateien gefunden

 

[stone.dr]

Kaspersky hat den Trojaner selbst noch nicht untersucht, aber da es als Backdoor klassifiziert wurde, sind so Sachen wie, Passwörter auslesen, PC steuern, Daten vom PC klauen etc. denkbar.

 

[HorstG]

Ok etwas genauer wollte ich es schon haben
Wie finde ich WO die Daten Hin gesendet werden.......

Ich habe mit VMWARE den Trojaner laufen lassen und den Netzverkehr untersucht aber NIX ,wann startet den so ein Bösewicht?

Die Datei red.bat enthält viel URL so komische mit Amazon und Perl .aber nicht die orginal WWW.amazon.de z.B

Mit welchen Tool könnte ich.im VMware mit genauer den Netzverkehr anschaun...habe es dort mit ner Test Version von Kaspersky gemacht.AV abgeschaltet ,und dann entpackt...

Horst und Danke ertmal

 

[odigo]

Mit Wireshark könntest du denn Netzwerkverkehr mitsniffen, ich bezweifle aber daß du viel sehen wirst (mal vom Ziel der Datenübertragung abgesehen). Ich kann mir nicht vorstellen daß die gesammelten Informationen in einem für Menschen lesbaren Format übertragen werden.

Gruß odigo

 

[HorstG]

Kann<ich die den Trojaner/Remotetolls beobachten wann sie was machen?
Wann sind sie Aktiv? Kann ich sehn ob URL´s umgeleitet werden?

Im RemotAdmin Tool muss doch wo stehn wo ersich melden soll...

Das ich den Bösewicht nicht Dingfest machen kann,ist mir klar,aber ich wil schon wissen ,
Wissen ist macht,.......

Horst..

P.S.Will Jemand Die Dateine haben zum Testen ???

 

[CDW]

Inzwischen ist es Mode bei Kids (und nicht nur denen), Trojaner mit Themida (ein guter Executable Protector im Treiber-Modus) zu schützen. Das erschwert die Analyse ungemein, da es für "normalsterbliche" eigentlich nicht möglich ist, Themida wieder zu entfernen und afaik kommt ein Virenscanner sowieso erst gar nicht dazu, den Speicher des Programms zu scannen, so dass wohl nur Signaturbasierte erkennung übrig bleibt.

Falls es hier der Fall ist, so bleibt nur der Weg über "Verbindungsdaten". Und hier gibt es wiederum massig Tricks (softwaretechnisch) wie eine VM entdeckt werden kann. Themida bietet diese Option als Zusatzschutz[1] und sie kann auch vom Programmierer selbst integriert werden, so dass der Trojaner in einer VM einfach nicht läuft. Deswegen nicht wundern, wenn in der VM nichts passiert

[1]Nicht dass es wirklich was bringen würde -Themida selbst wird ja auch regelmäßig gecrackt

 

[gTw34k3r]

Probiere doch einmal TCPView aus...