Nome del virus:TR/Banker.Banz.dfg
Scoperto:13/07/2010
Tipo:Trojan
In circolazione (ITW):Si
Numero delle infezioni segnalate:Basso
Potenziale di propagazione:Medio
Potenziale di danni:Medio
File statico:Si
Dimensione del file:5.408.768 Byte
Somma di controllo MD5:4cc5e9f5b28be7c29abee34f51f78a30
Versione IVDF:7.10.09.77 - martedì 13 luglio 2010

 Generale Metodo di propagazione:
   • Nessuna propria procedura di propagazione


Alias:
   •  Kaspersky: Trojan-Banker.Win32.Banz.dfg
   •  F-Secure: Trojan-Banker.Win32.Banz.dfg
   •  Eset: Win32/Spy.Banker.UDU
   •  Bitdefender: Trojan.Crypt.Delf.B


Piattaforme / Sistemi operativi:
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003


Effetti secondari:
   • Modifica del registro
   • Sottrae informazioni

 Registro – [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "ctmon2"="C:\Arquivos de programas\Sidebar\new.exe"
   • "Sidebr"="C:\Arquivos de programas\Sidebar\new.exe"

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "msnmsr"="C:\Arquivos de programas\Sidebar\new.exe"



Vengono aggiunte le seguenti chiavi di registro:

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\
   Associations]
   • "LowRiskFileTypes"=".exe"

– [HKCU\Software\AVG Security Toolbar]
   • "moveUnderTabs"=dword:00000000

– [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\
   Firewal+lPolicy]
   • "EnableFirewall"=dword:00000000

– [HKLM\SYSTEM\ControlSet001\Control\Partizan]
   • "HideWelcomeMessage"=dword:00000002
   • "UseSafedelete"=dword:00000000

– [HKLM\SYSTEM\CurrentControlSet\Control\Partizan]
   • "HideWelcomeMessage"=dword:00000002
   • "UseSafedelete"=dword:00000000



Vengono cambiate le seguenti chiavi di registro:

– [HKLM\SYSTEM\ControlSet001\Control\Session Manager]
   Valore precedente:
   • "BootExecute"=hex(7):61,00,75,00,74,00,6f,00,63,00,68,00,65,00,63,00,6b,00,20,\
   • 00,61,00,75,00,74,00,6f,00,63,00,68,00,6b,00,20,00,2a,00,00,00,00,00
   Nuovo valore:
   • "BootExecute"=hex(7):61,00,75,00,74,00,6f,00,63,00,68,00,65,00,63,00,6b,00,20,\
   • 00,61,00,75,00,74,00,6f,00,63,00,68,00,6b,00,20,00,2a,00,20,00,00,00,46,00,\
   • 43,00,4f,00,52,00,50,00,00,00,41,00,56,00,00,00,00,00
   •

– [HKLM\SYSTEM\CurrentControlSet\Control\Session Manager]
   Valore precedente:
   • "BootExecute"=hex(7):61,00,75,00,74,00,6f,00,63,00,68,00,65,00,63,00,6b,00,20,\
   • 00,61,00,75,00,74,00,6f,00,63,00,68,00,6b,00,20,00,2a,00,00,00,00,00
   Nuovo valore:
   • "BootExecute"=hex(7):61,00,75,00,74,00,6f,00,63,00,68,00,65,00,63,00,6b,00,20,\
   • 00,61,00,75,00,74,00,6f,00,63,00,68,00,6b,00,20,00,2a,00,20,00,00,00,46,00,\
   • 43,00,4f,00,52,00,50,00,00,00,41,00,56,00,00,00,00,00
   •

Descrizione inserita da Patrick Schoenherr su martedì 13 luglio 2010
Descrizione aggiornata da Patrick Schoenherr su mercoledì 14 luglio 2010

Indietro . . . .