Trojaner Bagle.DR

Verbreitung: *****
Schaden: *****

Der Trojaner Bagle.DR wird per E-Mail über diverse Spamlisten in Umlauf gebracht und hat sich schon relativ stark verbreitet. Wenn Sie die im Anhang der E-Mail befindliche ZIP-Datei entpacken und ausführen, kopiert sich der Trojaner ins Systemverzeichnis mit dem Dateinamen HLOADER_EXE.EXE und erstellt die Datei HLEADER_DLL.DLL.
Diese neue Datei ist ein Downloader, der mit dem Explorer-Task gestartet wird. Die DLL-Datei, mit einem Umfang von 5.613 Bytes, versucht dann Dateien von verschiedenen Internetseiten auf Ihren PC nachzuladen.

Die E-Mail hat folgendes Aussehen

Betreff: Unterschiedlicher Text

Dateianhang: Health_and_knowledge.zip

E-Mail-Text: Kein Text

Virus: Bagle.DR

Virustyp: Trojaner

Dateigröße: 9.675 Bytes

Betroffene Betriebssysteme: Alle Windows-Versionen

Installation auf dem System

Eine Kopie seiner selbst wird hier erzeugt:
• %SYSDIR%lphc1boj0e39c.exe

Es werden folgende Dateien erstellt:

– %SYSDIR%phc1boj0e39c.bmp

– %SYSDIR%blphc1boj0e39c.scr Des weiteren wird sie ausgeführt nachdem sie vollständig erstellt wurde.

– C:Documents and SettingsmakrorechnerLocal SettingsTemp.tt1.tmp.vbs Des weiteren wird sie ausgeführt nachdem sie vollständig erstellt wurde.

Einer der folgenden Werte wird dem Registryschlüssel hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

– [HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun]
• lphc1boj0e39c="%SYSDIR%lphc1boj0e39c.exe"

Folgende Registryschlüssel werden hinzugefügt:

– [HKLMSOFTWAREMicrosoftSoftware Notifier]
• InstallationID="3503dd7f-a0fc-4a9b-9fb3-3256a6dc78ce"

– [HKCUSoftwareSysinternalsBluescreen Screen Saver]
• EulaAccepted=dword:00000001

Folgende Registryschlüssel werden geändert:

Verschiedenste Einstellungen des Explorers:
– [HKCUSoftwareMicrosoftWindowsCurrentVersionPol iciesSystem]
Neuer Wert:
• NoDispBackgroundPage=dword:00000001
• NoDispScrSavPage=dword:00000001

– [HKCUControl PanelColors]
Neuer Wert:
• Background="0 0 255"

– [HKCUControl PanelDesktop]
Neuer Wert:
• WallpaperStyle="0"
TileWallpaper="0"
Wallpaper="%SYSDIR%phc1boj0e39c.bmp"
OriginalWallpaper="%SYSDIR%phc1boj0e39c.bmp"
SCRNSAVE.EXE="%SYSDIR%blphc1boj0e39c.scr"
ScreenSaveActive="1"
ScreenSaveTimeOut="600"

So schützen Sie Ihr System
Installieren Sie das neueste Update für Ihren Virenscanner und seien Sie vorsichtig gegenüber E-Mails von unbekannten Absendern – besonders gegenüber E-Mails mit Links oder mit Anhang!