Nombre:TR/Click.VB.FO
Descubierto:02/10/2006
Tipo:Troyano
En circulación (ITW):No
Número de infecciones comunicadas:Bajo
Potencial de propagación:Bajo
Potencial dañino:Medio-bajo
Fichero estático:Sí
Tamaño:79.872 Bytes
Suma de control MD5:c3c8b6dac9c0a0cd27c3edf1822ed786
Versión del VDF:6.36.00.71
Versión del IVDF:6.36.00.86 - lunes 9 de octubre de 2006

 General Método de propagación:
   • No tiene rutina propia de propagación


Alias:
   •  Kaspersky: Trojan-Clicker.Win32.VB.fo
   •  F-Secure: Trojan-Clicker.Win32.VB.fo
   •  Grisoft: Clicker.DCK
   •  Eset: Win32/TrojanClicker.VB.FO


Plataformas / Sistemas operativos:
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003


Efectos secundarios:
   • Suelta ficheros
   • Suelta ficheros dañinos
   • Modificaciones en el registro

 Ficheros Crea los siguientes ficheros:

– Un fichero temporal, que puede ser eliminado después:
   • %SYSDIR%\temp.reg

– %SYSDIR%\WinVer.ini
– %SYSDIR%\wmpStatus.dll Los análisis adicionales indicaron que este fichero es también viral. Detectado como: TR/Dldr.VB.DT.2

– %directorio donde se ejecuta el programa viral%\a.bat Además, el fichero es ejecutado después de haber sido creado. Este fichero batch es empleado para eliminar un fichero.
– %WINDIR%\svchost.exe Además, el fichero es ejecutado después de haber sido creado. Los análisis adicionales indicaron que este fichero es también viral. Detectado como: TR/Dldr.VB.DT.1.B

– %WINDIR%\boot.ini Los análisis adicionales indicaron que este fichero es también viral. Detectado como: TR/Drop.Agent.VP.2

– %WINDIR%\userinit.exe Los análisis adicionales indicaron que este fichero es también viral. Detectado como: TR/Drop.Agent.VP.2

 Registro Añade las siguientes claves del registro para ejecutar los servicios al iniciar el sistema:

– [HKLM\SYSTEM\CurrentControlSet\Services\Netwscsvc]
   • "Type"=dword:00000120
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000001
   • "ImagePath"=%WINDIR%\svchost.exe
   • "DisplayName"="Network wscsvc sharedaccess Service"
   • "ObjectName"="LocalSystem"
   • "Description"="???????????"

– [HKLM\SYSTEM\CurrentControlSet\Services\Netwscsvc\Security]
   • "Security"=%valores hex%

– [HKLM\SYSTEM\CurrentControlSet\Services\Netwscsvc\Enum]
   • "0"="Root\\LEGACY_NETWSCSVC\\0000"
   • "Count"=dword:00000001
   • "NextInstance"=dword:00000001



Modifica la siguiente clave del registro:

– [HKCU\Software\Microsoft\Internet Explorer\International]
   Valor anterior:
   • "AcceptLanguage"=%configuración definida por el usuario%
   Nuevo valor:
   • "AcceptLanguage"="zh-cn"

 Datos del fichero Lenguaje de programación:
 El programa de malware ha sido escrito en Visual Basic.


Programa de compresión de ejecutables:
Para agravar la detección y reducir el tamaño del fichero, emplea el siguiente programa de compresión de ejecutables:
   • UPX

Descripción insertada por Adriana Popa el jueves 5 de octubre de 2006
Descripción actualizada por Adriana Popa el lunes 9 de octubre de 2006

Volver . . . .