TR/PSW.Lineage.akc.1 - Trojan

A voir aussi

Brève description

Description complète

Statistiques

Nom:	TR/PSW.Lineage.akc.1
La date de la découverte:	03/10/2006
Type:	Cheval de Troie
En circulation:	Non
Infections signalées	Faible
Potentiel de distribution:	Faible
Potentiel de destruction:	Moyen
Fichier statique:	Oui
Taille du fichier:	58.368 Octets
Somme de contrôle MD5:	ceb7df23bf64e5d4ce1c9b4aad0a98ca
Version VDF:	6.36.00.75
Version IVDF:	6.36.00.91

Général Méthode de propagation:
   • Il ne possède pas de propre routine de propagation

Les alias:
   • Mcafee: PWS-Lineage.dll
   • Kaspersky: Trojan-PSW.Win32.Hangame.cl
   • F-Secure: Trojan-PSW.Win32.Hangame.cl
   • Grisoft: PSW.Generic2.NEY
   • Eset: Win32/PSW.Lineage.AEL
   • Bitdefender: Win32.AV-Killer

Plateformes / Systèmes d'exploitation:
   • Windows 99
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effets secondaires:
   • Il télécharge un fichier malveillant
   • Il crée un fichier malveillant
   • Il modifie des registres
   • Il vole de l'information

Fichiers Il s'autocopie dans l'emplacement suivant:
   • %WINDIR%\addins\rundll32.exe

Les fichiers suivants sont créés:

– %SYSDIR%\r2dll.dll Les investigations ultérieures ont prouvé que ce ficher est également un Malware.

Il essaie de télécharger des fichiers:

– L'emplacement est le suivant:
   • http://www.rwai.net/tset/r2lq/**********
Il est sauvegardé sur le disque dur local à l'emplacement: %WINDIR%\e1.dat

– L'emplacement est le suivant:
   • http://www.rwai.net/tset/r2lq/**********
Il est sauvegardé sur le disque dur local à l'emplacement: %WINDIR%\e1.exe Ensuite, ce fichier est exécuté après avoir été completment téléchargé. Au moment de l'analyse, ceci était déjà une nouvelle version de Malware

Registre La clé de registre suivante est ajoutée afin de lancer le processus après le redémarrage:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
• "Rr2"="%WINDIR%\addins\rundll32.exe"

La clé de registre suivante est ajoutée:

– [HKLM\SOFTWARE\Microsoft\Windows]
• "ver_"="3.8"

Vol d'informations Il essaie de voler l'information suivante:

– Une routine de journalisation est commencé après qu'un site web soit visité.
• r2realchannel.hangame.com

– Il capture:
• Information du compte

L'injection du code viral dans d'autres processus – Il injecte le fichier suivant dans un processus: r2dll.dll

Nom du processus :
• %tous les processus en exécution"

Détails de fichier Langage de programmation:
Le fichier a été écrit en Delphi.

Logiciel de compression des fichiers exécutables:
Pour entraver la détection et pour réduire la taille du fichier il est compressé avec le logiciel de compression des exécutables suivant:
• EXEStealth

Voir la description brève ici.

Description inséré par Adriana Popa sur Tue, 31 Oct 2006 14:26 (GMT+1)
Description mise à jour par Adriana Popa sur Thu, 02 Nov 2006 09:14 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Retour