Nume:TR/PSW.Lineage.adh.1
Descoperit pe data de:16/08/2006
Tip:Troian
ITW:Nu
Numar infectii raportate:Scazut
Potential de raspandire:Scazut
Potential de distrugere:Scazut spre mediu
Fisier static:Da
Marime:67.584 Bytes
MD5:dc49fe9ddf59f3ac562396ad39043f3f
Versiune VDF:6.35.01.99
Versiune IVDF:6.35.01.100 - Mittwoch, 16. August 2006

 General Metoda de raspandire:
   • Nu are rutina proprie de raspandire


Alias:
   •  Kaspersky: Trojan-PSW.Win32.Lineage.adw


Sistem de operare:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003


Efecte secundare:
   • Creeaza un fisier malware
   • Modificari in registri
   • Sustrage informatii

 Fisiere Se copiaza in urmatoarea locatie:
   • %WINDIR%\loadfiles.exe



Sunt create fisierele:

– %WINDIR%\msdos32.dll Analiza ulterioara a relevat ca si acest fisier este malware. Detectat ca: TR/PSW.Lineage.adw.8

– C:\t1game.txt Acest fisier stocheaza datele introduse de utilizator la tastatura.

 Registrii sistemului Inregistreaza un browser helper object (BHO) prin adaugarea urmatoarelor chei in registri:

– HKCR\CLSID\{BF1EB0FF-6B47-42A2-A98F-BA4362DA3E2B}\InProcServer32
   • "ThreadingModel"="Apartment"
   • "(Default)"="%WINDIR%\msdos32.dll"



Urmatoarele chei sunt adaugate in registrii sistemului:

– HKCR\CLSID\{BF1EB0FF-6B47-42A2-A98F-BA4362DA3E2B}
   • "(Default)"="PASSHOOK"

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
   ShellExecuteHooks
   • "{BF1EB0FF-6B47-42A2-A98F-BA4362DA3E2B}"=""

 Furt de informatii Incearca sa obtina urmatoarele informatii:

– Parolele din urmatoarele programe:
   • Lineage
   • Lineage Windows Client

 Injectarea codului malware in alte procese –  Injecteaza fisierul urmator intr-un proces: %WINDIR%\msdos32.dll

    Urmatoarele procese:
   • EXPLORER.EXE
   • %toate procesele pornite dupa ce virusul este activ in memorie%


 Detaliile fisierului Limbaj de programare:
 Limbaj de programare folosit: Delphi.

Die Beschreibung wurde erstellt von Marius T. Nicolae am Donnerstag, 14. September 2006
Die Beschreibung wurde geändert von Marius T. Nicolae am Donnerstag, 14. September 2006

zurück . . . .