Mit welchem Browser in welcher Version (möglichst) genau warst du denn auf welcher Seite?

Zitat von cosinus

Mit welchem Browser in welcher Version (möglichst) genau warst du denn auf welcher Seite?

Ich benutze ausschließlich Firefox 8.0, welches genau die Seite war kann ich dir leider nicht sagen, ich habe bei Google nach Seiten zu White-Box-Frameworks gesucht, angeblich war es eine Seite mit Tutorials, als ich auf der Seite war ging alles zu schnell um sich die Adresse zu merken, ich hab das JavaScript laden gesehen, noch das „Error“ gelesen und dann war mein Benutzerinterface weg, das ganze hat ~1-2sek gedauert, der Browserverlauf war danach gelöscht.


Was die Dissamblessierung angeht hab ich bei weitem zu wenig "Knowhow" um mich problemlos in einem fremden Code zurechtzufinden, deswegen ist das hier mehr oder weniger spekulativ, was ich auf den ersten Blick interessantes gefunden habe:

-Einen DLLEntryPoint der scheinbar mit einem Timer zusammenhängt, (möglicher Bezug zum "schlafen" des Trojaners) (ist ein Export der 0.9702746935792479.exe)

-Elemente und Definitionen zum Aufbau eines Menüs dienen könnten (GetMenuItemCount. ReplyMessage etc)

-Ein Muster das für mich so Aussieht als ob es Packetdaten die an Amazon gehen sollen abfischt.

-Das Parameter „SuppS“ mit dem die Rundll32.exe gestartet wird, ist ein Export der 0.9702746935792479.exe

-Die 0.9702746935792479.exe importiert Funktionen wie GetFileAtributes, SetFileApisToOEM aus verschiedenen Biblioteken.


Wenn ihr selber mal reinschauen wollt könnt ihr euch die Dateien hier laden, seid vorsichtig damit. hxxp://www.file-upload.net/download-3951125/Virus.zip.html

Gruß
Cnork