Nombre:TR/PSW.QQPass.KB.6
Descubierto:03/01/2007
Tipo:Troyano
En circulación (ITW):No
Número de infecciones comunicadas:Bajo
Potencial de propagación:Bajo
Potencial dañino:Medio-bajo
Fichero estático:Sí
Tamaño:44.567 Bytes
Suma de control MD5:211906c1daa0af3724385a37d0d23a7b
Versión del VDF:6.35.01.172
Versión del IVDF:6.35.01.176 - lunes 4 de septiembre de 2006

 General Método de propagación:
   • No tiene rutina propia de propagación


Alias:
   •  Kaspersky: Trojan-PSW.Win32.QQPass.kb
   •  Sophos: Troj/QQPass-ABX
   •  Grisoft: PSW.Generic2.FTI
   •  Eset: Win32/PSW.QQPass.KB
   •  Bitdefender: Backdoor.Maxi.A


Plataformas / Sistemas operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003


Efectos secundarios:
   • Descarga ficheros
   • Suelta un fichero dañino
   • Modificaciones en el registro

 Ficheros Se copia a sí mismo en las siguientes ubicaciones:
   • %PROGRAM FILES%\Common Files\Microsoft Shared\MSINFO\sysinfo.exe
   • %PROGRAM FILES%\Common Files\Microsoft Shared\MSINFO\6hackol.com



Crea el siguiente fichero:

– %PROGRAM FILES%\Common Files\Microsoft Shared\MSINFO\qqdsq2.lmz Los análisis adicionales indicaron que este fichero es también viral. Detectado como: TR/PSW.QQShou.IE

 Registro Añade las siguientes claves al registro:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
   ShellExecuteHooks]
   • "{08315C1A-9BA9-4B7C-A432-26885F9QQDSQ}"=""

– [HKCR\CLSID\{08315C1A-9BA9-4B7C-A432-26885F9QQDSQ}]
   • @=""

– [HKCR\CLSID\{08315C1A-9BA9-4B7C-A432-26885F9QQDSQ}\InProcServer32]
   • @="%PROGRAM FILES%\Common Files\Microsoft Shared\MSINFO\qqdsq2.lmz"
   • "ThreadingModel"="Apartment"



Modifica la siguiente clave del registro:

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
   Nuevo valor:
   • "Shell"="Explorer.exe "%PROGRAM FILES%\Common Files\Microsoft Shared\MSINFO\sysinfo.exe""

 Backdoor (Puerta trasera) Servidor contactado:
Las siguientes:
   • http://www.jump.oiwin.cn/**********
   • http://www.dl3.jpqqd.**********

Una vez contectado, extraerá una lista suplementaria.
Esto se realiza mediante una interrogación HTTP GET en un script PHP.

 Datos del fichero Lenguaje de programación:
 El programa de malware ha sido escrito en Delphi.

Descripción insertada por Monica Ghitun el miércoles 3 de enero de 2007
Descripción actualizada por Monica Ghitun el miércoles 3 de enero de 2007

Volver . . . .