Doctor Web, führender russischer Hersteller von Antivirus- und Antispam-Lösungen, warnt vor dem Schadprogramm Trojan.Proxy.23012, der Massen-Spam-Mails für Angreifern schickt. Durch diverse spezielle Features unterscheidet er sich von anderer Malware.
Trojan.Proxy.23012 wird auf infizierte Computer über andere Schadprogramme wie zum Beispiel Trojan.PWS.Panda.2395 heruntergeladen. Die ausführbare Datei des Trojaners ist mit demselben viralen Packer-Code komprimiert, den auch der als Zeus und Zbot bekannte Trojan.PWS.Panda.2395 verwendet. Aus diesem Grund wird er oft anhand seiner Signatur entdeckt.
Ist Trojan.Proxy.23012 einmal in ein System eingedrungen, wird der Virus entpackt und in den Arbeitsspeicher geladen. Anschließend beginnt die Installation. Das Installationsverzeichnis für dieses Schadprogramm ist abhängig von der Version des Betriebssystems und den Berechtigungen des Accounts, unter dem der Installer läuft. In jedem Fall verändert der Installer die Windows Registry, um sicherzustellen, dass der Trojaner bei Systemstart automatisch startet. Die Schadsoftware versucht zudem, die Benutzerkontensteuerung zu blockieren. In der Endphase der Installation wird der Code des Trojaners in explorer.exe injiziert.
Pierre Curien von Doctor Web: "Das Botnet, das aus mit dem Trojan.Proxy.23012 infizierten Computern besteht, wird von Kriminellen benutzt, um Proxyserver zu kontrollieren. Ziel ist das Versenden von Spam auf Kommando."
Hat das Programm eine Verbindung zu einem entfernten, Kommandos versendenden Server Command Center hergestellt, erstellt Trojan.Proxy.23012 auf Befehl der Angreifer einen Tunnel, der es den Malware-Programmierern ermöglicht, die Protokolle SOCKS5, SOCKS4 und HTTP (einschließlich der Methoden GET, POST und CONNECT) zu verwenden. Um Spam zu versenden, benutzen die Angreifer SMTP-Services wie gmail.com, hotmail.com und yahoo.com.
Ein charakteristisches Merkmal dieser Malware ist die Art, wie die Bot mit dem Botnet Command-and-Control-Server interagieren: einzelne Hosts werden in Echtzeit ausgewählt, um bestimmte Aktionen durchzuführen. Zusätzlich können Bots, die auf Computern ohne externe IP-Adresse installiert wurden, als Proxyserver dienen. Der Virus hat noch eine weitere Eigenart: er benutzt nur eine Control Server Adresse. Ist diese blockiert, kann er über das Trojan.PWS.Panda.2395 Peer-Netzwerk aktualisiert werden.
Die Signatur des Schädlings wurde der Dr. Web Virendatenbank hinzugefügt. Damit ist Trojan.Proxy.23012 keine ernsthafte Bedrohung für Systeme, die durch Doctor Web-Produkte geschützt werden.
Trojan.Proxy.23012 wird auf infizierte Computer über andere Schadprogramme wie zum Beispiel Trojan.PWS.Panda.2395 heruntergeladen. Die ausführbare Datei des Trojaners ist mit demselben viralen Packer-Code komprimiert, den auch der als Zeus und Zbot bekannte Trojan.PWS.Panda.2395 verwendet. Aus diesem Grund wird er oft anhand seiner Signatur entdeckt.
Ist Trojan.Proxy.23012 einmal in ein System eingedrungen, wird der Virus entpackt und in den Arbeitsspeicher geladen. Anschließend beginnt die Installation. Das Installationsverzeichnis für dieses Schadprogramm ist abhängig von der Version des Betriebssystems und den Berechtigungen des Accounts, unter dem der Installer läuft. In jedem Fall verändert der Installer die Windows Registry, um sicherzustellen, dass der Trojaner bei Systemstart automatisch startet. Die Schadsoftware versucht zudem, die Benutzerkontensteuerung zu blockieren. In der Endphase der Installation wird der Code des Trojaners in explorer.exe injiziert.
Pierre Curien von Doctor Web: "Das Botnet, das aus mit dem Trojan.Proxy.23012 infizierten Computern besteht, wird von Kriminellen benutzt, um Proxyserver zu kontrollieren. Ziel ist das Versenden von Spam auf Kommando."
Hat das Programm eine Verbindung zu einem entfernten, Kommandos versendenden Server Command Center hergestellt, erstellt Trojan.Proxy.23012 auf Befehl der Angreifer einen Tunnel, der es den Malware-Programmierern ermöglicht, die Protokolle SOCKS5, SOCKS4 und HTTP (einschließlich der Methoden GET, POST und CONNECT) zu verwenden. Um Spam zu versenden, benutzen die Angreifer SMTP-Services wie gmail.com, hotmail.com und yahoo.com.
Ein charakteristisches Merkmal dieser Malware ist die Art, wie die Bot mit dem Botnet Command-and-Control-Server interagieren: einzelne Hosts werden in Echtzeit ausgewählt, um bestimmte Aktionen durchzuführen. Zusätzlich können Bots, die auf Computern ohne externe IP-Adresse installiert wurden, als Proxyserver dienen. Der Virus hat noch eine weitere Eigenart: er benutzt nur eine Control Server Adresse. Ist diese blockiert, kann er über das Trojan.PWS.Panda.2395 Peer-Netzwerk aktualisiert werden.
Die Signatur des Schädlings wurde der Dr. Web Virendatenbank hinzugefügt. Damit ist Trojan.Proxy.23012 keine ernsthafte Bedrohung für Systeme, die durch Doctor Web-Produkte geschützt werden.
