Nume: TR/Spy.Goldun.axt Descoperit pe data de: 12/09/2008 Tip: Troian ITW: Da Numar infectii raportate: Scazut spre mediu Potential de raspandire: Mediu Potential de distrugere: Mediu Fisier static: Da Marime: 34.931 Bytes MD5: 6ba40E29db8fb6f9145fde7a45708875 Versiune IVDF: 7.00.06.149 - viernes 12 de septiembre de 2008
General Metoda de raspandire: • Nu are rutina proprie de raspandire Alias: • Mcafee: Spy-Agent.bg trojan • Kaspersky: Trojan-Spy.W32.Goldun.axt • F-Secure: Trojan-Spy:W32/Goldun.RR • Sophos: Troj/Meredrop-A Sistem de operare: • Windows 95 • Windows 98 • Windows 98 SE • Windows NT • Windows ME • Windows 2000 • Windows XP • Windows 2003 Efecte secundare: • Creeaza fisiere malware • Reduce setarile de securitate • Modificari in registri • Sustrage informatii Fisiere Sunt create fisierele: – Fisier inofensiv: • %SYSDIR%\k86.bin – %SYSDIR%\cabpck.dll Fisierul este executat dupa ce a fost creat. Analiza ulterioara a relevat ca si acest fisier este malware. Detectat ca: TR/Spy.Goldun.axn – %SYSDIR%\krnlcab.sys Analiza ulterioara a relevat ca si acest fisier este malware. Detectat ca: TR/Rootkit.Gen Incearca sa descarce un fisier: – Adresa este urmatoarea: • http://social-bos.biz/**********/data.php********** Registrii sistemului Urmatoarea cheie este adaugata in registri pentru a rula procesul la repornirea sistemului: – [HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\ krnlcab.sys] • @="Driver" Una din urmatoarele valori este adaugata in registri pentru pornirea automata a procesului dupa reboot: – [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ cabpck] • DllName=hex(2):%valori hex% (cabpck.dll) • Startup="cabpck" • mpersonate=dword:00000001 • Asynchronous=dword:00000001 • MaxWait=dword:00000001 • a950="[FA5BF78BD77A4464E]" Urmatoarele chei sunt adaugate in registri pentru a incarca serviciile la repornirea sistemului: – [HKLM\SYSTEM\CurrentControlSet\Services\krnlcab] • "Type"=dword:00000001 • "Start"=dword:00000001 • "ErrorControl"=dword:00000000 • "ImagePath"=hex(2):%valori hex% (system32\krnlcab.sys) • "DisplayName"="Cabinet Kernel Packer" – [HKLM\SYSTEM\CurrentControlSet\Services\krnlcab\Security] • "Security"=hex:%valori hex% – [HKLM\SYSTEM\CurrentControlSet\Services\krnlcab\Enum] • "0"="Root\\LEGACY_KRNLCAB\\0000" • "Count"=dword:00000001 • "NextInstance"=dword:00000001 Creeaza urmatoarea valoare, pentru a trece de Windows XP firewall: – [HKLM\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\ FirewallPolicy\StandardProfile\AuthorizedApplications\List] • "%fisier executat% "="%fisier executat% :*:Enabled:rundll32" Urmatoarele chei sunt adaugate in registrii sistemului: – [HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_KRNLCAB] • "NextInstance"=dword:00000001 – [HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_KRNLCAB\0000] • "Service"="krnlcab" • "Legacy"=dword:00000001 • "ConfigFlags"=dword:00000000 • "Class"="LegacyDriver" • "ClassGUID"="{8ECC055D-047F-11D1-A537-0000F8753ED1}" • "DeviceDesc"="Cabinet Kernel Packer" – [HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_KRNLCAB\0000\ Control] • "*NewlyCreated*"=dword:00000000 • "ActiveService"="krnlcab" Detaliile fisierului Compresia fisierului: Pentru a ingreuna detectia si a reduce marimea fisierului, este folosit urmatorul program de arhivare: • UPX
Descripción insertada por Alexander Neth el viernes 12 de septiembre de 2008 Descripción actualizada por Alexander Neth el viernes 12 de septiembre de 2008
Volver
.
.
.
.