Datum: Wann entdeckt?	17 Mai 2007 17:01 GMT
Update released	17 Mai 2007 18:13 GMT
Datum der Veröffentlichung	30 Apr 2008
Behavior	Trojan

• Technical Details
• Payload
• Removal instructions

Trojaner, der eine destruktive Tätigkeit auf dem Anwender-PC ausübt.

Es ist eine Windows-Anwendung (PE EXE-Datei) mit einer Größe von 945664 Byte, nicht gepackt, in Delphi geschrieben.

Installation

Beim Start kopiert sich der Trojaner in die folgenden Ordner:

Der Trojaner erstellt im Systemregister den folgenden Schlüssel, in dem die Installations-Daten angegeben sind:

Außerdem erstellt er folgende Register-Schlüssel-Einträge:

Um sicherzustellen, dass der Trojaner bei jedem Neustart ausgeführt wird, registriert der Trojaner seine ausführbare Datei mit folgenden Schlüsseln:

Das vorliegende Trojaner-Programm ist ein Tastaturspion mit der Fähigkeit der Remote-Steuerung und mit Wurmfunktionen.

Das Schadprogramm verbreitet sich über Wechseldatenträger.

Es kopiert sich auf den Wechseldatenträger unter dem Namen "RavMonE.exe" und erstellt eine Datei für den Autostart "autorun.inf", welcher die Ausführungsdatei des Trojaners jedes Mal startet, wenn der Anwender den infizierten Bereich mithilfe des Explorer öffnet.

Der Trojaner beendet die folgenden Prozesse, wenn es sie auf dem System gibt:

Dabei handelt es sich um Prozesse anderer schädlicher Programme.

Der Trojaner installiert einen Tastatur-Hook mittels einer Bibliothek, die vom Trojaner im temporären Verzeichnis des jeweiligen Windows-Anwenders erstellt wurde:

Der Trojaner protokolliert die Tastatur-Eingaben des Anwenders mit und speichert diese in folgender Datei:

Die gesammelten Daten versendet der Trojaner an die E-Mail-Adresse des Angreifers:

Außerdem protokolliert der Trojaner seine Tätigkeit in folgender Datei:

<date> - Datum im Format tt-mm-jjjj

Der Trojaner beendet folgende Prozesse der Firewall und laufender Antiviren-Programme:

Wenn Ihr PC nicht durch ein Antiviren-Programm geschützt wurde und durch dieses Schadprogramm infiziert wurde, empfehlen wir die folgenden Schritte:

1. Nutzen Sie den ( „Task-Manager“), um den Prozess "RavMonE.exe" zu beenden.
2. Löschen Sie die Original-Datei des Trojaners (seine Position auf dem Computer ist von der Methode abhängig, mit welcher er auf den PC gelangte).
3. Löschen Sie die folgenden Dateien:
   %Documents and Settings%\%user%\Start Menu\Programs\Startup\RavMonE.exe
   %Documents and Settings%\%user%\Start Menu\Programs\Startup\avp.exe
   %System% \RavMon.exe
   %Documents and Settings%\Local Settings\Temp\curse--.tmp
   %Temp%\h.tmp
   %Temp%\keys.log
4. Löschen Sie folgende Daten des System-Registers:
   [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\rm]
   [HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
   "RavAV" = "%Documents and Settings%\%user%\Start Menu\Programs\Startup\RavMonE.exe"
   "RavMon" = "%System% \RavMon.exe"
   [HKCR\Software\Microsoft\Internet Account]
   "Expire Days" = "dword:8"
   [HKCR\Control Panel\Desktop]
   "AutoEndTasks" = "1"
5. Führen Sie die vollständige Überprüfung des Computers mit Kaspersky Antivirus mit den aktualisierten Antivirus-Datenbanken durch (Testversion herunterladen).