TR/Agent.SY.1 - Trojan

Vea también

Resumen

Descripción completa

Estadísticas

Nombre:	TR/Agent.SY.1
Descubierto:	01/08/2006
Tipo:	Troyano
En circulación (ITW):	No
Número de infecciones comunicadas:	Bajo
Potencial de propagación:	Bajo
Potencial dañino:	Medio-bajo
Fichero estático:	Sí
Tamaño:	32.792 Bytes
Suma de control MD5:	51c535e0378c414d06bfe75ae64b643a
Versión del VDF:	6.35.01.32
Versión del IVDF:	6.35.01.32

General Método de propagación:
   • No tiene rutina propia de propagación

Alias:
   • Kaspersky: Trojan-Proxy.Win32.Agent.dd
   • VirusBuster: Trojan.DR.Agent.DRA

Plataformas / Sistemas operativos:
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efectos secundarios:
   • Suelta un fichero dañino
   • Contiene su propio motor para generar mensajes de correo

Ficheros Añade una sección al fichero.
– Para: %SYSDIR%.ini Con el siguiente contenido:
• [IDslow]
IDVer32=6882359

Crea el siguiente fichero:

– %SYSDIR%\wndregmon32.DLL Los análisis adicionales indicaron que este fichero es también viral. Detectado como: TR/Proxy.Agent.DD.7

Correo electrónico Contiene un motor SMTP integrado para enviar correo no solicitado (spam). Establece una conexión directa con el servidor de destinación. Sus características están descritas a continuación:

De:
Direcciones recolectadas del Internet. Por favor no piense que ha sido la intención del remitente enviarle este mensaje de correo. Es posible que dicho remitente no esté al tanto de la infección o ni siquiera esté infectado. Además, es posible que usted reciba mensajes devueltos, indicándole que está infectado. Esto también podría ser falso.

Para:
– Direcciones de correo encontradas en ficheros específicos del sistema.
– Direcciones recolectadas del Internet.
– Direcciones generadas

Asunto:
El siguiente:
• %recogido del Internet%

El cuerpo del mensaje:
– Contiene código HTML.
El cuerpo del mensaje de correo es el siguiente:
• %recogido del Internet%

Backdoor (Puerta trasera) Servidor contactado:
Uno de los siguientes:
   • http://72.36.250.234**********
   • http://72.36.250.234**********
   • http://72.36.250.234**********
   • http://72.36.250.234**********
   • http://72.232.13.2**********

De esta forma, puede enviar informaciones y obtener el control remoto.

Capabilidades de control remoto:
    • relacionado al spam

Inyectar el código viral en otros procesos – Inyecta el siguiente fichero en un proceso: %SYSDIR%\wndregmon32.DLL

Nombre del proceso:
• %todos los procesos activos%

Informaciones diversas Objeto mutex:
Crea el siguiente objeto mutex:
• pendosi-zabery-vse-vashi-babki

Datos del fichero Lenguaje de programación:
El programa de malware ha sido escrito en MS Visual C++.

Programa de compresión de ejecutables:
Para agravar la detección y reducir el tamaño del fichero, emplea el siguiente programa de compresión de ejecutables:
• UPX

Para una breve descripción vea el resumen aquí.

Descripción insertada por Teodor Onisor el Thu, 10 Aug 2006 11:14 (GMT+1)
Descripción actualizada por Teodor Onisor el Fri, 11 Aug 2006 10:33 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« volver