TR/Spy.Banker.anv.1780 - Trojan

Siehe auch Deutsch

Kurzfassung

Vollständig

Statistik

Name:	TR/Spy.Banker.anv.1780
Entdeckt am:	27/06/2006
Art:	Trojan
In freier Wildbahn:	Nein
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig
Schadenspotenzial:	Mittel
Statische Datei:	Ja
Dateigröße:	784.572 Bytes
MD5 Prüfsumme:	f53e6b9be5954c975985ff4c9bc7a568
VDF Version:	6.35.00.76 - Tue, 27 Jun 2006 08:09 (GMT+1)
IVDF Version:	6.35.00.84 - Wed, 28 Jun 2006 10:09 (GMT+1)

General Verbreitungsmethode:
   • Keine eigene Verbreitungsroutine

Aliases:
   • Kaspersky: Trojan-Spy.Win32.Banker.anv
   • TrendMicro: TSPY_BANKER.EZI
   • F-Secure: Trojan-Spy.Win32.Banker.anv
   • Grisoft: PSW.Banker2.HKV
   • Eset: Win32/Spy.Banker.ANV
   • Bitdefender: Trojan.Spy.Agent.IB

Betriebsysteme:
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Änderung an der Registry
   • Stiehlt Informationen

Nach Aktivierung wird folgende Information angezeigt:

Dateien Kopien seiner selbst werden hier erzeugt:
• %ALLUSERSPROFILE%\start menu\programs\startup\lsass32.exe
• %SYSDIR%\lsass32.exe

Registry Der folgende Registryschlüssel wird hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
• "lsass32"="%SYSDIR%\lsass32.exe"

Folgender Registryschlüssel wird hinzugefügt:

– [HKCU\Software\Microsoft\MS SETUP (ACME)]

Email Es besitzt keine eigene Verbreitungsroutine verschickt jedoch eine Email. Der Empfänger ist möglicherweise der Author. Die Einzelheiten sind im folgenden aufgeführt:

Überwachnung des Browsers:
Die Routine wird aktiviert wenn das Browserfenster mit folgender Zeichenkette übereinstimmt:
   • CaixaEconomica

Von:
Die Absenderadresse wurde gefälscht.
Der Absender der Email ist einer der folgenden:
   • BB CEF E HSBC
   • CaixaEconomica

An:
Der Empfänger der Email ist folgender:
   • montana1000@gmail.com

Betreff:
Eine der folgenden:
   • INFO: %Name des Computers%
   • computing %Name des Computers%

Body:
Der Body der Email ist folgender:

   • |'Agora Ficou Bom
     |'[Infectado OnLine]..:
     |'Nome do PC..........:%Name des Computers%
     |'Físico IP...........: %aktuelle IP Adresse%
     |'Data da Abertura....: %aktuelles Datum%
     |'Hora da Abertura....: %aktuelle Stunde%
     |'Win Version.........: %Windows version%
     |'End Placa de Rede...:%MAC Adresse%
     |'Agora Ficou Bom

Manchmal gefolgt von einer der folgenden:

   • Caixa Economica federal - fataL COrp
     VindO d3: %Name des Computers%Site: "https://internetcaixa.caixa.gov.br/NASApp/SIIBC/index_verif.processa","Internet Banking CAIXA"
     !//---//---//---//---//---//
     [Caixa Tip].............: %gestohlene Infromation%
     [Caixa Agê].............: %gestohlene Infromation%
     [Caixa Con].............: %gestohlene Infromation%
     [Caixa SeNet]...........: %gestohlene Infromation%
     [Caixa AssElet].........: %gestohlene Infromation%
     !//---//---//---//---//---//
     Placa de Rede:%MAC Adresse%

Die Email könnte wie eine der folgenden aussehen.

Versand MX Server:
Es besitzt die Fähigkeit folgenden MX Server zu kontaktieren:
• gsmtp185.google.com

Diebstahl Es wird versucht folgende Information zu klauen:
– In 'Passwort Eingabefelder' eingetippte Passwörter

–Formularfenster werden angezeigt. Diese sehen wie folgt aus:

Diverses Mutex:
Es wird folgender Mutex erzeugt:
• fataL MuTexXx

Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in Delphi geschrieben.

Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit folgendem Laufzeitpacker gepackt:
• UltraProtect

Kurzfassung hier.

Beschreibung erstellt von Adriana Popa am Fri, 01 Sep 2006 09:49 (GMT+1)
Beschreibung geändert von Adriana Popa am Fri, 01 Sep 2006 10:28 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück