Nume:TR/PSW.Lineage.EM.5
Descoperit pe data de:17/07/2006
Tip:Troian
ITW:Da
Numar infectii raportate:Scazut
Potential de raspandire:Scazut
Potential de distrugere:Mediu
Fisier static:Da
Marime:36.864 Bytes
MD5:e70A613bc03f252a786e3fea308cd6d7
Versiune VDF:6.35.00.134
Versiune IVDF:6.35.00.173 - lundi 17 juillet 2006

 General Metoda de raspandire:
   • Nu are rutina proprie de raspandire


Alias:
   •  Symantec: Infostealer.Lineage
   •  Kaspersky: Trojan-PSW.Win32.Lineage.em
   •  TrendMicro: TSPY_LINEAGE.ANU


Sistem de operare:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003


Efecte secundare:
   • Creeaza fisiere
   • Modificari in registri
   • Sustrage informatii

 Fisiere Se copiaza in urmatoarea locatie:
   • %PROGRAM FILES%\Microsoft\svhost32.exe



Creeaza urmatorul director:
   • %PROGRAM FILES%\Microsoft



Este creat fisierul:

– %SYSDIR%\msdll.dll Fisierul este executat dupa ce a fost creat.

 Registrii sistemului Una din urmatoarele valori este adaugata in registri pentru pornirea automata a procesului dupa reboot:

–  [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "ms"="%PROGRAM FILES%\Microsoft\svhost32.exe"

 Email Nu are rutina proprie de raspandire, dar poate trimite email-uri. Cel mai probabil, destinatarul este autorul virusului. Iata caracteristicile lui:
Expeditorul email-ului este urmatorul:
   • vip@microsoft.com

 Furt de informatii Incearca sa obtina urmatoarele informatii:

– Parola din programul:
   • Lineage

 Injectarea codului malware in alte procese –  Injecteaza fisierul urmator intr-un proces: %SYSDIR%\msdll.dll

    Urmatoarele procese:
   • explorer.exe
   • %procese care au ferestre vizibile%


 Detaliile fisierului Compresia fisierului:
Pentru a ingreuna detectia si a reduce marimea fisierului, este folosit urmatorul program de arhivare:
   • UPX

Description insérée par Monica Ghitun le lundi 17 juillet 2006
Description mise à jour par Monica Ghitun le jeudi 3 août 2006

Retour . . . .