TR/Proxy.Horst.IP.4 - Trojan

Vea también

Resumen

Descripción completa

Estadísticas

Nombre:	TR/Proxy.Horst.IP.4
Descubierto:	12/09/2006
Tipo:	Troyano
En circulación (ITW):	No
Número de infecciones comunicadas:	Bajo
Potencial de propagación:	Bajo
Potencial dañino:	Medio
Fichero estático:	Sí
Tamaño:	47.104 Bytes
Suma de control MD5:	9fb149cba2558fd7c565f72c85b6a125
Versión del VDF:	6.35.01.215
Versión del IVDF:	6.35.01.219

General Método de propagación:
   • No tiene rutina propia de propagación

Alias:
   • Mcafee: BackDoor-CMQ
   • Kaspersky: Trojan-Proxy.Win32.Horst.jf
   • TrendMicro: WORM_MEDBOT.AI
   • F-Secure: Trojan-Proxy.Win32.Horst.jf
   • Grisoft: Proxy.FRF
   • Eset: Win32/Medbot.BJ

Plataformas / Sistemas operativos:
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efectos secundarios:
   • Suelta un fichero dañino
   • Modificaciones en el registro
   • Posibilita el acceso no autorizado al ordenador

Ficheros Se copia a sí mismo en la siguiente ubicación:
• %SYSDIR%\smss.exe

Crea el siguiente fichero:

– %SYSDIR%\nvsvcd.exe Los análisis adicionales indicaron que este fichero es también viral.

Registro Añade la siguiente clave del registro para ejecutar el proceso al iniciar el sistema:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • ".nvsvc"="%SYSDIR%\smss.exe /w"

Añade las siguientes claves del registro para ejecutar los servicios al iniciar el sistema:

– [HKLM\SYSTEM\CurrentControlSet\Services\Windows Log]
   • "Type"=dword:00000010
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000001
   • "ImagePath"="%SYSDIR%\nvsvcd.exe"
   • "DisplayName"="Windows Log"
   • "ObjectName"="LocalSystem"

– [HKLM\SYSTEM\CurrentControlSet\Services\Windows Log\Security]
   • "Security"=%valores hex%

Elimina del registro de Windows el valor de la siguiente clave:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "KAVPersonal50"

IRC Para enviar informaciones y proporcionar control remoto, se conecta al siguiente servidor IRC:

Servidor: reg.raxoper.**********
Puerto: 80
Apodo: jebw-1_%serie de caracteres aleatorios de cuatro dígitos%_%serie de caracteres aleatorios de cuatro dígitos%

– Además puede efectuar las siguientes operaciones:
• Descargar fichero
• Ejecutar fichero

Backdoor (Puerta trasera) Servidor contactado:
La siguiente:
• rc.rizalof.com/**********

De esta forma puede enviar informaciones. Esto se realiza mediante una interrogación HTTP GET en un script PHP.

Envía informaciones acerca de:
• Estado actual del programa viral

Inyectar el código viral en otros procesos – Se inyecta en un proceso.

    Nombre del proceso:
   • svchost.exe

   Al lograr la operación, el programa malicioso cesa su ejecución, mientras que su componente inyectado queda activo.

Datos del fichero Programa de compresión de ejecutables:
Para agravar la detección y reducir el tamaño del fichero, emplea el siguiente programa de compresión de ejecutables:
• UPX

Para una breve descripción vea el resumen aquí.

Descripción insertada por Adriana Popa el Fri, 27 Oct 2006 10:30 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« volver