TR/Spy.Bancos.YT.2 - Trojan

Siehe auch Deutsch

Kurzfassung

Vollständig

Statistik

Name:	TR/Spy.Bancos.YT.2
Entdeckt am:	22/09/2006
Art:	Trojan
In freier Wildbahn:	Nein
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig
Schadenspotenzial:	Mittel
Statische Datei:	Ja
Dateigröße:	179.200 Bytes
MD5 Prüfsumme:	17b0f4c1e448749988a91d9d912c827c
VDF Version:	6.36.00.52 - Fri, 22 Sep 2006 15:02 (GMT+1)
IVDF Version:	6.36.00.63 - Wed, 27 Sep 2006 09:03 (GMT+1)

General Verbreitungsmethode:
   • Keine eigene Verbreitungsroutine

Aliases:
   • Kaspersky: Trojan-Spy.Win32.Bancos.yt
   • F-Secure: Trojan-Spy.Win32.Bancos.yt
   • Sophos: Troj/Bancos-AW
   • Eset: Win32/Spy.Bancos.U

Betriebsysteme:
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Verfügt über eigene Email Engine
   • Änderung an der Registry
   • Stiehlt Informationen

Nach Aktivierung wird folgende Information angezeigt:

Dateien Eine Kopie seiner selbst wird hier erzeugt:
• %SYSDIR%\nspackk.exe

Es wird folgende Datei erstellt:

– %WINDIR%\winhlp32.dat Dies ist eine nicht virulente Textdatei. Sie enthält Informationen über das Programm selbst.

Registry Der folgende Registryschlüssel wird hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • "NSpackk"=""%SYSDIR%\nSpackk.exe""

Folgender Registryschlüssel wird geändert:

– HKLM\SOFTWARE\INTEL\LANDesk\VirusProtect6\CurrentVersion\Storages\
   InternetMail\RealTimeScan
   Neuer Wert:
   • "OnOff"=dword:00000000

Email Es besitzt keine eigene Verbreitungsroutine verschickt jedoch eine Email. Der Empfänger ist möglicherweise der Author. Die Einzelheiten sind im folgenden aufgeführt:

Design der Email:
Von: passageiro2006a@yahoo.es
An: caxopa2@yahoo.com.hk
Betreff: Retorno!!%aktuelles Datum% %aktuelle Stunde%
Body:
   •
     Msg da versão.: 5.0.0 OR - 1-Sem arquivo

     .

Versand MX Server:
Es verwendet nicht den Standard MX Server.
Es besitzt die Fähigkeit folgenden MX Server zu kontaktieren:
• smtp.correo.yahoo.es

Diebstahl Es wird versucht folgende Information zu klauen:

– Nachdem eine Webseite besucht wurde dessen URL eine der folgenden Substings enthält, wird eine Protokollfunktion gestartet:
   • www2.bancobrasil.com.br
   • https://www2.bancobrasil.com.br/aapf/saldos/006.jsp?codT=0
   • https://www2.bancosbrasil.com.br/aapff/aaii/principal
   • internetcaixa.caixa.gov.br
   • \BancoBrasil\officeIE\index.html
   • https://bankline.itau.com.br/GRIPNET/gracgi.exe
   • bankline.itau.com.br

– Aufgezeichnet wird:
    • Anmeldeinformation

Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in Visual Basic geschrieben.

Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit folgendem Laufzeitpacker gepackt:
• PECompact

Kurzfassung hier.

Beschreibung erstellt von Teodor Onisor am Thu, 05 Oct 2006 12:03 (GMT+1)
Beschreibung geändert von Teodor Onisor am Thu, 05 Oct 2006 14:05 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück