TR/Spy.Banker.awa.233 - Trojan

Siehe auch Deutsch

Kurzfassung

Vollständig

Statistik

Name:	TR/Spy.Banker.awa.233
Entdeckt am:	29/06/2006
Art:	Trojan
In freier Wildbahn:	Nein
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig
Schadenspotenzial:	Mittel
Statische Datei:	Ja
Dateigröße:	563.712 Bytes
MD5 Prüfsumme:	0432ac988070bce9ee7e010Bf898ffad
VDF Version:	6.35.00.93 - Thu, 29 Jun 2006 11:39 (GMT+1)
IVDF Version:	6.35.00.108 - Mon, 03 Jul 2006 09:26 (GMT+1)

General Aliases:
   • Kaspersky: Trojan-Spy.Win32.Banker.awa
   • VirusBuster: trojan TrojanSpy.Banker.EKR

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP

Auswirkungen:
   • Lädt eine Dateien herunter
   • Erstellt eine Datei
   • Änderung an der Registry
   • Stiehlt Informationen

Dateien Es wird folgende Datei erstellt:

– %SYSDIR%\csrs.txt

Es wird versucht folgende Datei herunterzuladen:

– Die URL ist folgende:
• http://coelhinhasdaplayboy.com.sapo.pt/**********
Diese wird lokal gespeichert unter: %WINDIR%\syste32\Issas.scr

Registry Der folgende Registryschlüssel wird hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

– HKCU\Software\Microsoft\Windows\CurrentVersion\Run
• "boby"="%SYSDIR%\csrs.scr"

Email Von:
Der Absender der Email ist einer der folgenden:
   • avisos1@mail.ru
   • contas1@mail.ru

An:
Der Empfänger der Email ist folgender:
   • programador2@gmail.com

Betreff:
Eine der folgenden:
   • INFECT - %Name des Computers%
   • Equifax - %Name des Computers%
   • VerMelha - %Name des Computers%

Der Body der Email ist folgender:

   • %Name des Computers%

     Ag:Conta:.......: %gestohlene Infromation%
     Senha 4:........: %gestohlene Infromation%
     Senha 6:........: %gestohlene Infromation%
     Resposta:.......: %gestohlene Infromation%
     TOKEM:........31: %gestohlene Infromation%
     TOKEM:........53: %gestohlene Infromation%
     TOKEM:........06: %gestohlene Infromation%
     Data: %aktuelles Datum% - Hora: %aktuelle Stunde%
     Não se esqueça de fazer uma gracinha p/ o seu Programador.
      pois se nao fosse por ele vc não
      estaria agora rindo %et% essa cara otario.
      Nervoso N. Identificacao .

   • %Name des Computers%

     Usuario..........: %gestohlene Infromation%
     Senha............: %gestohlene Infromation%
     Data: %aktuelles Datum% - Hora: %aktuelle Stunde%
     Não se esqueça de fazer uma gracinha p/ o seu Programador.
      pois se nao fosse por ele vc não
      estaria agora rindo com essa cara otario.
      Nervoso N. Identificacao .
     .


Dateianhang:
Der Dateiname des Anhangs ist folgender:
   • DaFente.jpg

Die Email könnte wie eine der folgenden aussehen.

Diebstahl Es wird versucht folgende Information zu klauen:

– Nachdem eine der folgenden Webseiten besucht wurde wird eine Protokollfunktion gestartet:
   • http://www.bradesco.com.br
   • http://www.equifax.com.br
   • http://www.itau.com.br
   • https://bradesconetempresa.com.br
   • https://internetcaixa.caixa.gov.br/NASApp/SIIBC/index_verif.processa

– Aufgezeichnet wird:
    • Anmeldeinformation

Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in Delphi geschrieben.

Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit folgendem Laufzeitpacker gepackt:
• PECompact

Kurzfassung hier.

Beschreibung erstellt von Bogdan Iliuta am Fri, 01 Sep 2006 10:57 (GMT+1)
Beschreibung geändert von Bogdan Iliuta am Mon, 18 Sep 2006 10:10 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück