TR/Spy.Banker.mxp - Trojan

Vea también

Resumen

Descripción completa

Estadísticas

Nombre:	TR/Spy.Banker.mxp
Descubierto:	26/11/2008
Tipo:	Troyano
Subtipo:	Spy
En circulación (ITW):	Sí
Número de infecciones comunicadas:	Bajo
Potencial de propagación:	Bajo
Potencial dañino:	Medio
Fichero estático:	No
Tamaño:	~ 3.061.120 Bytes
Versión del IVDF:	7.01.00.138

General Método de propagación:
   • No tiene rutina propia de propagación

Alias:
   • Kaspersky: Trojan-Banker.Win32.Banker.aaus
   • F-Secure: Trojan-Banker.Win32.Banker.aaus
   • Sophos: Mal/DelpBanc-A
   • Grisoft: PSW.Banker5.AEW
   • VirusBuster: TrojanSpy.Banker.BISF
   • Eset: Win32/Spy.Banker.PVH trojan
   • Bitdefender: Packer.RLPack.D

Plataformas / Sistemas operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efectos secundarios:
   • Modificaciones en el registro
   • Roba informaciones

Ficheros Se copia a sí mismo en la siguiente ubicación:
• %ALLUSERSPROFILE%\start menu\programs\startup\Java(TM).exe

Crea el siguiente fichero:

– C:\start.bat Además, el fichero es ejecutado después de haber sido creado. Este fichero batch es empleado para eliminar un fichero.

Registro Añade la siguiente clave del registro para ejecutar el proceso al iniciar el sistema:

– [HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
• Java(TM)="C:\Arquivos de programas\Java(TM).exe"

Finalización de los procesos Desactiva el siguiente servicio:
• GbpSv

Backdoor (Puerta trasera) Servidor contactado:
El siguiente:
• http://contagemdeamigos.iespana.es/**********/contar.php

De esta forma puede enviar informaciones. Esto se realiza mediante el método HTTP GET y POST, empleando un script PHP.

Envía informaciones acerca de:
• Las informaciones recolectadas, descritas en la sección

Robo de informaciones Intenta robar las siguientes informaciones:

– Después de visitar uno de los siguientes sitios web, se crea una rutina para generar ficheros de informe:
   • https://www.bradesco.com.br
   • https://netbanking2.banespa.com.br

– Captura:
    • Informaciones para iniciar sesión

Datos del fichero Lenguaje de programación:
El programa de malware ha sido escrito en Delphi.

Programa de compresión de ejecutables:
Para agravar la detección y reducir el tamaño del fichero, emplea el siguiente programa de compresión de ejecutables:
• RLPack

Para una breve descripción vea el resumen aquí.

Descripción insertada por Thomas Wegele el Tue, 16 Dec 2008 14:53 (GMT+1)
Descripción actualizada por Thomas Wegele el Tue, 16 Dec 2008 15:13 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« volver