Nome del virus:TR/Dldr.Tiny.brm
Scoperto:14/07/2008
Tipo:Trojan
Sottotipo:Downloader
In circolazione (ITW):Si
Numero delle infezioni segnalate:Medio-Basso
Potenziale di propagazione:Basso
Potenziale di danni:Medio-Basso
File statico:Si
Dimensione del file:8.192 Byte
Somma di controllo MD5:6b4ef50e3e21205685cea919ebf93476
Versione IVDF:7.00.05.107 - lunedì 14 luglio 2008

 Generale Metodo di propagazione:
   • Nessuna propria procedura di propagazione


Alias:
   •  Symantec: Trojan Horse
   •  Kaspersky: Trojan-Downloader.Win32.Obitel.a
   •  TrendMicro: TROJ_DLOADR.GG
   •  F-Secure: Trojan-Downloader.Win32.Obitel.a
   •  Sophos: Troj/Agent-HFU
   •  Eset: Win32/TrojanDownloader.Tiny.NDM
   •  Bitdefender: Trojan.Downloader.Gadja.C


Piattaforme / Sistemi operativi:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003


Effetti secondari:
   • Scarica un file “maligno”

 File Si copia alla seguente posizione:
   • %SYSDIR%\userinit.exe



Rinomina il seguente file:

    •  %SYSDIR%\userinit.exe in %SYSDIR%\userini.exe



Cancella la copia di se stesso eseguita inizialmente.

– %TEMPDIR%\%stringa casuale di tre caratteri%.tmp Ulteriori analisi hanno accertato che questo file è anch'esso un malware. Riconosciuto come: TR/Dldr.Tiny.brm.1




Prova a scaricare un file:

– La posizione è la seguente:
   • http://fixaserver.ru/**********gate.php**********
Inoltre questo file viene eseguito dopo essere stato completamente scaricato. Al momento dell'analisi questo file non era più disponibile.

 Email Non possiede una propria procedura di propagazione, però si trasmette tramite email. Le caratteristiche sono descritte qui di seguito:


Da:
L'indirizzo del mittente è falso.


Oggetto:
Uno dei seguenti:
   • Ihr UPS Paket %stringa di caratteri casuale%
   • UPS Paket %stringa di caratteri casuale%



Corpo dell'email:
Il corpo dell’email è come il seguente:

   • Guten Tag,
     leider konnten wir ihren Paket gesendet am 01. Juli nicht zustellen, da
     die Adresse des Empfangers nicht existiert. Drucken Sie bitte den Lieferschein im Anhang dieser Mail aus,
     und holen Sie ihr Paket bei uns ab.

   • Dear Sir/Madam,
     
     Unfortunately we were not able to deliver postal package you sent on July the 1st in time because the recipient's address is not correct.
     Please print out the invoice copy attached and collect the package at our office
     
     Your UPS


File allegato:
Il nome del file allegato è uno dei seguenti:
   • UPS_Lieferschein_8102.zp
   • ups_invoice.zip

L'allegato è un archivio che contiene una copia del malware stesso.

 Dettagli del file Linguaggio di programmazione:
 Il malware è stato scritto in MS Visual C++.

Descrizione inserita da Thomas Wegele su martedì 15 luglio 2008
Descrizione aggiornata da Thomas Wegele su martedì 15 luglio 2008

Indietro . . . .