Trojaner: TROJ_QAZ.A (11.08.00)
--------------------------------------------------------------------------------
Dieser neue Trojaner ermöglicht Hackern, Kontrolle zu erlangen über ein infiziertes System. TROJ_QAZ wurde ursprünglich als "Notepad.exe" versendet, kann aber mittlerweile unter anderer Benennung erscheinen. Wird eine infizierte Datei ausgeführt, schreibt TROJ_QAZ die Registry so um, daß er jedesmal wenn Windows gestartet wird, aktiv werden kann:
HKEY_LOCAL_MACHINE\Software\Microsoft\windows\CurrentVersion\Run\startIE = XXXX\Notepad.exe qazwsx.hsq
XXXX ist dabei jede Lokalität, von der aus der Trojaner ausgeführt wird.
Das originale "Notepad.exe" wird dann in "note.com" umgeschrieben und eine Kopie davon im Windows Verzeichnis angelegt. Dadurch wird der Virus auch aktiv, wenn auf einem infizierten System das Programm Notepad ausgeführt wird. TROJ_QAZ versucht zudem, sich im Netzwerk über Zugriffsberechtigungen weiter zu veteilen, wobei er auf installierte Notepad - Software zugreift. Dieser Trojaner nutzt nicht eMail, um sich zu verbreiten, sondern scheint über Web-Download, Newsgroups, IRC oder Chat-Rooms auf ein System zu gelangen.
Trend Micro Produktpalette erkennt diesen Trojaner ab dem Pattern 756.
Solution:
START > AUSFÜHREN
Tippen Sie Regedit und bestätigen Sie
Im linken Panel klicken sie auf "+" bei
HKEY_LOCAL_MACHINE
Software
Microsoft
Windows
CurrentVersion
Run
Im rechten Panel nach einem Eintrag suchen, der folgenden Wert beinhaltet: startIE=XXXX\Notepad.exe
Im rechten Fenster den Eintrag auswählen und entfernen
Danach verlassen sie die Registry
Dann START > BEENDEN > NEUSTART und bestätigen
Benennen Sei Note.com in Notepad.exe um
Scannen sie Ihr System und löschen Sie alle Dateien, die als TROJ_QAZ.A erkannt werden. (Denken Sie dabei an die Aktualität des Pattern!)