TR/PSW.Legendmir.DT - Trojan

Vea también

Resumen

Descripción completa

Estadísticas

Nombre:	TR/PSW.Legendmir.DT
Descubierto:	10/10/2006
Tipo:	Troyano
En circulación (ITW):	Sí
Número de infecciones comunicadas:	Bajo
Potencial de propagación:	Bajo
Potencial dañino:	Medio
Fichero estático:	Sí
Tamaño:	52.217 Bytes
Suma de control MD5:	4dd6ae5c4efd96ee00ccad73c6b7ab38
Versión del VDF:	6.36.00.61
Versión del IVDF:	6.36.00.75

General Método de propagación:
   • No tiene rutina propia de propagación

Alias:
   • Mcafee: PWS-WoW trojan
   • Kaspersky: Trojan-PSW.Win32.WOW.jf
   • Sophos: Troj/WOW-HI
   • Eset: Win32/PSW.Legendmir

Plataformas / Sistemas operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efectos secundarios:
   • Suelta ficheros
   • Modificaciones en el registro
   • Emplea vulnerabilidades de software
   • Roba informaciones

Ficheros Se copia a sí mismo en las siguientes ubicaciones:
   • %WINDIR%\LSASS.exe
   • %WINDIR%\EXERT.exe
   • %PROGRAM FILES%\Internet Explorer\INTEXPLORE.com
   • %PROGRAM FILES%\Common Files\INTEXPLORE.pif
   • %SYSDIR%\dxdiag.com
   • %SYSDIR%\MSCONFIG.COM
   • %SYSDIR%\regedit.com
   • %WINDIR%\Debug\DebugProgram.exe
   • D:\command.com

Crea el siguiente fichero:

– D:\autorun.inf Además, el fichero es ejecutado después de haber sido creado. Contiene parámetros empleados por el programa malicioso.

Registro La siguiente clave del registro se encuentra en un bucle infinito, añadido para ejecutar el proceso al reiniciar el sistema.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "ToP"="%WINDIR%\LSASS.exe"

Elimina del registro de Windows el valor de la siguiente clave:

– [HKLM\SECURITY\RXACT\Log]

Elimina la siguiente clave del registro, incluyendo todos sus valores y subclaves:
   • [HKLM\SAM\SAM]

Añade las siguientes claves al registro:

– [HKCR\WindowFiles\DefaultIcon]
   • "(Default)"="%1"

– [HKCR\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\
   OpenHomePage\Command]
   • "(Default)"=""%PROGRAM FILES%\Internet Explorer\INTEXPLORE.com""

– [HKCR\WindowFiles\Shell\Open\Command]
   • "(Default)"="%WINDIR%\EXERT.exe "%1" %*"

– [HKCU\Software\VB and VBA Program Settings\Microsoft Soft Debuger\
   Settings]
   • "GUID"="{E4C6MY-V2IHI1-3W0IJ0-JG4EWB-6O7JE8}"

Modifica las siguientes claves del registro:

– [HKCU\Software\Microsoft\Internet Explorer\Main]
   Nuevo valor:
   • "Check_Associations"="No"

– [HKCR\htmlfile\shell\open\command]
   Nuevo valor:
   • "(Default)"=""%PROGRAM FILES%\Internet Explorer\INTEXPLORE.com" -nohome"

– [HKCR\Applications\iexplore.exe\shell\open\command]
   Nuevo valor:
   • "(Default)"=""%PROGRAM FILES%\Internet Explorer\INTEXPLORE.com" %1"

– [HKCR\ftp\shell\open\command]
   Nuevo valor:
   • "(Default)"=""%PROGRAM FILES%\Internet Explorer\INTEXPLORE.com" %1"

– [HKCR\htmlfile\shell\opennew\command]
   Nuevo valor:
   • "(Default)"=""%PROGRAM FILES%\Common Files\INTEXPLORE.pif" %1"

– [HKCR\http\shell\open\command]
   Nuevo valor:
   • "(Default)"=""%PROGRAM FILES%\Common Files\INTEXPLORE.pif" %1"

– [HKCR\.exe]
   Nuevo valor:
   • "(Default)"="WindowFiles"

Infección en la red Exploit:
Emplea la siguiente brecha de seguridad:
– MS04-011 (LSASS Vulnerability)

Finalización de los procesos Listado de los procesos finalizados:
   • RAVMON*; TROJDIE*; KPOP*; CCENTER*; *ASSISTSE*; KPFW*; AGENTSVR*; KV*;
      KREG*; IEFIND*; IPARMOR*; SVI.EXE; UPHC*; RULEWIZE*; FYGT*; RFWSRV*;
      RFWMA*; TROJAN*; MMSK*

Robo de informaciones Intenta robar las siguientes informaciones:
– Contraseñas tipeadas en los campos de contraseñas

– La contraseña del programa:
   • World of Warcraft

– Después de visitar uno de los siguientes sitios web, se crea una rutina para generar ficheros de informe:
   • us.logon.worldofwarcraft.com
   • eu.logon.worldofwarcraft.com
   • tw.logon.worldofwarcraft.com

– Captura:
    • Informaciones para iniciar sesión

Datos del fichero Lenguaje de programación:
El programa de malware ha sido escrito en Visual Basic.

Programa de compresión de ejecutables:
Para agravar la detección y reducir el tamaño del fichero, emplea un programa de compresión de ejecutables.

Para una breve descripción vea el resumen aquí.

Descripción insertada por Monica Ghitun el Tue, 10 Oct 2006 15:52 (GMT+1)
Descripción actualizada por Monica Ghitun el Wed, 01 Nov 2006 09:43 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« volver