Vundo, der anhängliche Trojaner

Der Vundo-Trojaner führt seine bösartigen Aktivitäten hinter harmlosen Windows-Prozessen aus.

Der Vundo-Trojaner versucht, so lange wie möglich auf infizierten Computern versteckt zu bleiben. Dazu kopiert es auch Dateien auf ausgewählte Computer, sodass Sie sich hinter bekannten, harmlosen Prozessen verstecken und von dort aus Ihre Aufgabe erledigen können.

Der Trojaner nimmt eine Reihe von Änderungen an der Registrierung vor und erstellt auch ein BHO-Objekt. Anschließend generiert es verschiedene Konfigurationsdateien, von denen es auch zwei sichert. Vundo stellt sicher, dass Ihre eigenen Dateien nicht einfach gelöscht werden können, denn wenn ein Antivirenprogramm oder ein Benutzer versucht, sie zu entfernen, wird sofort eine andere Datei erstellt.

Der Vundo-Trojaner verwendet zufällige Dateinamen, doch die meiste Zeit verbreitet er sich im Internet als bkinst.exe.

Wenn der Vundo-Trojaner startet, führt er die folgenden Aktionen aus:

1. Erstellt eine Datei mit einem zufälligen Dateinamen in einem oder mehreren Windows-Systemverzeichnissen.
2. Folgende Einträge werden in die Registrierungsdatenbank aufgenommen:
   HKLM \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ RunOnce
   HKCU \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ RunOnce
   HKLM \ SOFTWARE \ Microsoft \ Windows \ Currentversion \ Run
   HKEY_CURRENT_USER \ SOFTWARE \ Microsoft \ Windows \ Currentversion \ Run
   HKCU \ Software \ Microsoft \ Windows \ CurrentVersion \ RunOnce \ * MS Setup
   HKCU \ Software \ Microsoft \ Windows \ CurrentVersion \ RunOnce \ * WinLogon
3. Es kopiert eine DLL in das Windows Temp-Verzeichnis, das es verwendet, um verschiedene Prozesse zu infizieren und sich hinter diesen zu verstecken. Es stellt auch sicher, dass, wenn ein Benutzer eine infizierte Datei löscht, diese sofort neu erstellt wird.
4. Erstellt eine BHO-Klasse (Browser Helper Object) mit dem folgenden Registrierungsschlüssel:
   HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\ {68132581-10F2-416E-B188-4E648075325A}
5. Erstellt eine INI-Datei, die verschiedene Konfigurationsdaten speichert.
6. Erstellt zwei Backups der Konfigurationsdatei mit den Erweiterungen .bak1 und .bak2.