¿Necesita ayuda? Pregunte a la comunidad o contrate a un experto.
Ir a Avira Answers
Nombre:TR/Spy.Agent.fdq.2
Descubierto:09/12/2008
Tipo:Troyano
En circulacin (ITW):S
Nmero de infecciones comunicadas:Medio-bajo
Potencial de propagacin:Medio-bajo
Potencial daino:Medio-bajo
Fichero esttico:S
Tamao:184.880 Bytes
Suma de control MD5:2eb859bd6f3c2805daafe13dded883dc
Versin del IVDF:7.01.00.212 - martes 9 de diciembre de 2008

 General Mtodo de propagacin:
    Funcin de autoejecucin


Alias:
   •  Bitdefender: Trojan.Generic.1619889
   •  Panda: W32/Autorun.IUB


Plataformas / Sistemas operativos:
   • Windows 2000
   • Windows XP
   • Windows 2003


Efectos secundarios:
   • Descarga ficheros dainos
   • Suelta ficheros dainos
   • Modificaciones en el registro

 Ficheros Se copia a s mismo en la siguiente ubicacin:
   • %disquetera%\m.exe



Elimina la copia inicial del virus.



Elimina el siguiente fichero:
   • %SYSDIR%\RCX%nmero hexadecimal%.tmp



Crea los siguientes ficheros:

%disquetera%\autorun.inf Este es un fichero de texto que no presenta riesgo alguno e incluye el siguiente contenido:
   • %cdigo que ejecuta malware%

%TEMPDIR%\%valores hex%.bat Adems, el fichero es ejecutado despus de haber sido creado.
%SYSDIR%\%valores hex%.dll Los anlisis adicionales indicaron que este fichero es tambin viral. Detectado como: Worm/Autorun.Raz.21

%SYSDIR%\RCX%nmero hexadecimal%.tmp Los anlisis adicionales indicaron que este fichero es tambin viral. Detectado como: Worm/Autorun.Raz.14

 Registro Aade las siguientes claves al registro:

[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
   • "Blud"="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"

[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\
   %valores hex%]
   • "Asynchronous"=dword:0x00000001
   • "DllName"="%SYSDIR%\%valores hex%.dll"
   • "Impersonate"=dword:0x00000000
   • "Lock"="lck"
   • "Logoff"="lf"
   • "Logon"="l"
   • "Shutdown"="sd"
   • "StartScreenSaver"="sss"
   • "StartShell"="ss"
   • "Startup"="sup"
   • "StopScreenSaver"="stsss"
   • "Unlock"="u"

 Backdoor (Puerta trasera) Servidor contactado:
Las siguientes:
   • http://wl.remiusa.com/v306/**********
   • http://wl.genseck.com/v306/**********

Esto se realiza mediante una interrogacin HTTP GET en un script PHP.

 Inyectar el cdigo viral en otros procesos – Inyecta una rutina de puerta trasera (backdoor) en un proceso.

    Nombre del proceso:
   • winlogon.exe


 Datos del fichero Lenguaje de programacin:
El programa de malware ha sido escrito en MS Visual C++.


Programa de compresin de ejecutables:
Para agravar la deteccin y reducir el tamao del fichero, emplea un programa de compresin de ejecutables.

Descripción insertada por Petre Galan el jueves 11 de noviembre de 2010
Descripción actualizada por Petre Galan el viernes 12 de noviembre de 2010

Volver . . . .
https:// Esta ventana está cifrada para su seguridad.