PE_LOOKED.AAA-O

Wird möglicherweise von anderer Malware eingeschleust.

Injiziert die eingeschleuste Datei/Komponente in bestimmte Prozesse.

Hängt eigenen Code an den Anfang der Zieldateien an.

Zum Zeitpunkt der Fertigstellung dieses Dokuments sind die erwähnten Sites jedoch nicht zugänglich.

Übertragungsdetails

Wird möglicherweise von der folgenden Malware eingeschleust:

• PE_LOOKED.AAA

Installation

Schleust folgende Dateien/Komponenten ein:

• %Windows%\Dll.dll - detected as TROJ_LOOKED.GX

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %Windows%\rundl132.exe

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Injiziert die eingeschleuste Datei/Komponente in folgende Prozesse:

• explorer.exe
• iexplore.exe

Autostart-Technik

Ändert die folgenden Registrierungseinträge, um bei jedem Systemstart automatisch ausgeführt zu werden:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
load = %Windows%\rundl132.exe

(Note: The default value data of the said registry entry is {blank}.)

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Soft\
DownloadWWW
auto = 1

Dateiinfektion

Infiziert die folgenden Dateitypen:

• .EXE

Hängt eigenen Code an den Anfang der Zieldateien an.

Sucht in den folgenden Laufwerken nach Zieldateien:

• C to Z

Vermeidet es, Ordner zu infizieren, die diese Zeichenfolgen enthalten:

• system
• system32
• windows
• Documents and Settings
• System Volume Information
• Recycled
• winnt
• \Program Files\
• Windows NT
• WindowsUpdate
• Windows Media Player
• Outlook Express
• Internet Explorer
• ComPlus Applications
• NetMeeting
• Common Files
• Messenger
• InstallShield Installation Information
• Microsoft Frontpage
• Movie Maker
• MSN Gaming Zone

Prozessbeendigung

Beendet die folgenden Dienste, wenn sie auf dem betroffenen System gefunden werden:

• Kingsoft AntiVirus Service

Beendet Prozesse oder Dienste, die einen oder mehrere dieser Zeichenfolgen enthalten, wenn sie im Speicher des betroffenen Systems ausgeführt werden:

• EGHOST.EXE
• MAILMON.EXE
• KAVPFW.EXE
• KAVPFW.EXE
• IPARMOR.EXE
• Ravmond.EXE
• regsvc.exe
• RavMon.exe
• mcshield.exe
• KVMonXP.KXP
• KRegEx.exe
• KVXP.KXP

Download-Routine

Öffnet die folgenden Websites, um Dateien herunterzuladen:

• http://www.god74.com/mm/1.exe
• http://www.god74.com/mm/2.exe
• http://www.god74.com/mm/3.exe
• http://www.god74.com/mm/4.exe
• http://www.god74.com/mm/5.exe
• http://www.god74.com/mm/6.exe
• http://www.god74.com/mm/7.exe
• http://www.god74.com/mm/8.exe
• http://www.god74.com/mm/9.exe

Zum Zeitpunkt der Fertigstellung dieses Dokuments sind die erwähnten Sites jedoch nicht zugänglich.