TR/Spy.Banker.BF.1 - Trojan

Siehe auch Deutsch

Kurzfassung

Vollständig

Statistik

Name:	TR/Spy.Banker.BF.1
Entdeckt am:	17/07/2006
Art:	Trojan
In freier Wildbahn:	Nein
Gemeldete Infektionen:	Niedrig bis mittel
Verbreitungspotenzial:	Niedrig
Schadenspotenzial:	Mittel
Statische Datei:	Ja
Dateigröße:	508.200 Bytes
MD5 Prüfsumme:	ebd1fd4e2514163c2f2ed1c2803de0a8
VDF Version:	6.35.00.171 - Mon, 17 Jul 2006 09:38 (GMT+1)
IVDF Version:	6.35.00.210

General Verbreitungsmethode:
   • Keine eigene Verbreitungsroutine

Aliases:
   • Mcafee: PWS-Banker.gen.i
   • TrendMicro: TSPY_BANKER.ABN
   • Bitdefender: Trojan.Spy.Banker.BF

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Änderung an der Registry
   • Stiehlt Informationen

Dateien Kopien seiner selbst werden hier erzeugt:
• %ALLUSERSPROFILE%\start menu\programs\startup\msnmsgr.exe
• %WINDIR%\config\msnmsgr.exe

Registry Einer der folgenden Werte wird dem Registry key hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
• "msnmsgr"="%WINDIR%\Config\msnmsgr.exe"

Email Es besitzt keine eigene Verbreitungsroutine verschickt jedoch eine Email. Der Empfänger ist möglicherweise der Author. Die Einzelheiten sind im folgenden aufgeführt:

Von:
Generierte Adressen. Bitte vermuten Sie nicht, dass es des Absenders Absicht war diese Email zu schicken. Es ist möglich, dass er nichts über seine Infektion weiß oder sogar nicht infiziert ist. Des Weiteren ist es möglich, dass Sie Emails bekommen in denen die Rede davon ist, dass Sie infiziert sind was möglicherweise auch nicht stimmt.

An:
Die Empfänger der Email sind folgende:
   • foxbans@gmail.com
   • kainfor@gmail.com

Betreff:
Eine der folgenden:
   • CAIXAECONOMICA [-] : %Name des Computers%
   • BANCODOBRASIL [-] : %Name des Computers%
   • UNIBANCO [-] : %Name des Computers%
   • INFECTADO por morcego: %Name des Computers%

Body:
Der Body der Email ist einer der folgenden:

   • CPU: %Name des Computers%
     Data: %aktuelles Datum% Hora: %aktuelle Stunde%
     Windows: %Windows version%

   • Caixa Economica federal

     [Caixa Tip].............: %zufällige Buchstabenkombination%
     [Caixa Agê].............: %zufällige Buchstabenkombination%
     [Caixa Con].............: %zufällige Buchstabenkombination%
     [Caixa SeNet]...........: %zufällige Buchstabenkombination%
     [Caixa AssElet].........: %zufällige Buchstabenkombination%

   • UNIBANCO

     [Agên].........: %zufällige Buchstabenkombination%
     [Con-Dig]......: %zufällige Buchstabenkombination%
     [SeCont].......: %zufällige Buchstabenkombination%
     [AssElet]......: %zufällige Buchstabenkombination%
     [NascimE]......: %zufällige Buchstabenkombination%

Diebstahl – Nachdem eine der folgenden Webseiten besucht wurde wird eine Protokollfunktion gestartet:
   • http://www.caixa.gov.br/_redirect/links/r_internetcaixa.asp
   • http://www.unibanco.com.br
   • http://www.bb.com.br

– Aufgezeichnet wird:
    • Anmeldeinformation

Diverses Mutex:
Es wird folgender Mutex erzeugt:
• Messenger 7.5

Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in Delphi geschrieben.

Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit folgendem Laufzeitpacker gepackt:
• WinUpack

Kurzfassung hier.

Beschreibung erstellt von Gabriel Mustata am Wed, 06 Sep 2006 10:45 (GMT+1)
Beschreibung geändert von Andrei Ivanes am Tue, 19 Sep 2006 14:42 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück