TR/FwBypass.A.537 - Trojan

Vea también

Resumen

Descripción completa

Estadísticas

Nombre:	TR/FwBypass.A.537
Descubierto:	04/07/2006
Tipo:	Troyano
En circulación (ITW):	No
Número de infecciones comunicadas:	Bajo
Potencial de propagación:	Bajo
Potencial dañino:	Medio
Fichero estático:	Sí
Tamaño:	113.152 Bytes
Suma de control MD5:	3eb9e470350D6927cff49c790A1e6785
Versión del VDF:	6.35.00.115
Versión del IVDF:	6.35.00.141

General Método de propagación:
   • No tiene rutina propia de propagación

Alias:
   • Kaspersky: Trojan-PSW.Win32.LdPinch.ats
   • Bitdefender: Trojan.FirewallBypass

Plataformas / Sistemas operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efectos secundarios:
   • Modificaciones en el registro
   • Roba informaciones

Ficheros Se copia a sí mismo en la siguiente ubicación:
• %WINDIR%\svchîst2.exe

Crea el siguiente fichero:

– c:\out.bin Este fichero contiene los datos recolectados acerca del sistema.

Registro Añade la siguiente clave del registro para ejecutar el proceso al iniciar el sistema:

– HKCU\Software\Microsoft\Windows\CurrentVersion\Run
   • "System"="%WINDIR%\svchîst2.exe"

Crea la siguiente entrada para evitar el cortafuego de Windows XP:

– HKLM\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\
   FirewallPolicy\StandardProfile\AuthorizedApplications\List
   • "%WINDIR%\svchîst2.exe"="%WINDIR%\svchîst2.exe:*:Enabled:svchîst2"

Añade la siguiente clave al registro:

– HKCR\.key
   • "(Default)"="regfile"

Correo electrónico No tiene rutina propia de propagación, pero puede enviar mensajes de correo. Lo más probable es que el destinatario sea el autor del virus. Las características están descritas a continuación:

El diseño del mensaje de correo:

A: xinchpass@mail.ru
Asunto: Subject: Passes from Pinch 2
Adjunto:
• out.bin

Robo de informaciones Intenta robar las siguientes informaciones:
– Informaciones acerca de la cuenta de correo, obtenidas de la clave del registro: HKCU\Software\Microsoft\Internet Account Manager\Accounts

– Las contraseñas de los siguientes programas:
   • ICQ
   • CuteFTP
   • CuteFTP PRO
   • Far(ftp plugin)
   • Miranda
   • Outlook
   • RimArts
   • The Bat!
   • Total Commander
   • Trillian
   • Windows Commander

Datos del fichero Programa de compresión de ejecutables:
Para agravar la detección y reducir el tamaño del fichero, emplea el siguiente programa de compresión de ejecutables:
• ASProtect

Para una breve descripción vea el resumen aquí.

Descripción insertada por Irina Boldea el Tue, 08 Aug 2006 15:10 (GMT+1)
Descripción actualizada por Andrei Gherman el Thu, 10 Aug 2006 10:04 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« volver