¿Necesita ayuda? Pregunte a la comunidad o contrate a un experto.
Ir a Avira Answers
Nombre:TR/Spy.Agent.fdq.2
Descubierto:09/12/2008
Tipo:Troyano
En circulación (ITW):
Número de infecciones comunicadas:Medio-bajo
Potencial de propagación:Medio-bajo
Potencial dañino:Medio-bajo
Fichero estático:
Tamaño:184.880 Bytes
Suma de control MD5:2eb859bd6f3c2805daafe13dded883dc
Versión del IVDF:7.01.00.212 - martes, 9 de diciembre de 2008

 General Método de propagación:
   • Función de autoejecución


Alias:
   •  Bitdefender: Trojan.Generic.1619889
   •  Panda: W32/Autorun.IUB


Plataformas / Sistemas operativos:
   • Windows 2000
   • Windows XP
   • Windows 2003


Efectos secundarios:
   • Descarga ficheros dañinos
   • Suelta ficheros dañinos
   • Modificaciones en el registro

 Ficheros Se copia a sí mismo en la siguiente ubicación:
   • %disquetera%\m.exe



Elimina la copia inicial del virus.



Elimina el siguiente fichero:
   • %SYSDIR%\RCX%número hexadecimal%.tmp



Crea los siguientes ficheros:

%disquetera%\autorun.inf Este es un fichero de texto que no presenta riesgo alguno e incluye el siguiente contenido:
   • %código que ejecuta malware%

%TEMPDIR%\%valores hex%.bat Además, el fichero es ejecutado después de haber sido creado.
%SYSDIR%\%valores hex%.dll Los análisis adicionales indicaron que este fichero es también viral. Detectado como: Worm/Autorun.Raz.21

%SYSDIR%\RCX%número hexadecimal%.tmp Los análisis adicionales indicaron que este fichero es también viral. Detectado como: Worm/Autorun.Raz.14

 Registro Añade las siguientes claves al registro:

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
   • "Blud"="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"

– [HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\
   %valores hex%]
   • "Asynchronous"=dword:0x00000001
   • "DllName"="%SYSDIR%\%valores hex%.dll"
   • "Impersonate"=dword:0x00000000
   • "Lock"="lck"
   • "Logoff"="lf"
   • "Logon"="l"
   • "Shutdown"="sd"
   • "StartScreenSaver"="sss"
   • "StartShell"="ss"
   • "Startup"="sup"
   • "StopScreenSaver"="stsss"
   • "Unlock"="u"

 Backdoor (Puerta trasera) Servidor contactado:
Las siguientes:
   • http://wl.remiusa.com/v306/**********
   • http://wl.genseck.com/v306/**********

Esto se realiza mediante una interrogación HTTP GET en un script PHP.

 Inyectar el código viral en otros procesos – Inyecta una rutina de puerta trasera (backdoor) en un proceso.

    Nombre del proceso:
   • winlogon.exe


 Datos del fichero Lenguaje de programación:
El programa de malware ha sido escrito en MS Visual C++.


Programa de compresión de ejecutables:
Para agravar la detección y reducir el tamaño del fichero, emplea un programa de compresión de ejecutables.

Descripción insertada por Petre Galan el jueves, 11 de noviembre de 2010
Descripción actualizada por Petre Galan el viernes, 12 de noviembre de 2010

Volver . . . .
https:// Esta ventana está cifrada para su seguridad.