Ha bisogno di assistenza? Chieda alla community oppure consulti un esperto.
Vai ad Avira Answers
Nome del virus:TR/Spy.ZBot.pcp
Scoperto:15/07/2010
Tipo:Trojan
In circolazione (ITW):Si
Numero delle infezioni segnalate:Medio-Basso
Potenziale di propagazione:Basso
Potenziale di danni:Medio-Basso
File statico:Si
Dimensione del file:118272 Byte
Somma di controllo MD5:8603e529ee23ac7e1213d5b5e14c66d7
Versione VDF:7.10.04.13
Versione IVDF:7.10.09.92 - giovedì 15 luglio 2010

 Generale Metodo di propagazione:
   • Nessuna propria procedura di propagazione


Alias:
   •  Kaspersky: Trojan.Win32.Scar.cndh
   •  TrendMicro: TROJ_MEREDROP.SY
   •  F-Secure: Trojan.Win32.Scar.cndh
   •  Eset: Win32/Spy.Zbot.YW


Piattaforme / Sistemi operativi:
   • Windows 2000
   • Windows XP
   • Windows 2003


Effetti secondari:
   • Disattiva le applicazioni di sicurezza
   • Scarica un file
   • Duplica file
   • Modifica del registro

 File Si copia alla seguente posizione:
   • %SYSDIR%\sdra64.exe



Crea la seguente directory:
   • %SYSDIR%\lowsec



Vengono creati i seguenti file:

File non maligni:
   • %SYSDIR%\lowsec\user.ds
   • %SYSDIR%\lowsec\local.ds
   • %SYSDIR%\lowsec\user.ds.lll




Prova a scaricare un file:

La posizione la seguente:
   • http://113.11.194.175/us/**********

 Registro Viene aggiunta nel registro la seguente chiave con lo scopo di eseguire il processo dopo il riavvio:

[HKLM\software\microsoft\windows nt\currentversion\winlogon]
   • "userinit"="%SYSDIR%\userinit.exe,,%SYSDIR%\sdra64.exe,"



Vengono aggiunte le seguenti chiavi di registro:

[HKCU\software\microsoft\windows\currentversion\explorer\
   {35106240-D2F0-DB35-716E-127EB80A0299}\
   {33373039-3132-3864-6B30-303233343434}]
[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network]
   • "UID"="%nome del computer%_B4DF76112BF9218C"

[HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network]
   • "UID"="%nome del computer%_B4DF76112BF9218C"

[HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
   • "ParseAutoexec"="1"



Vengono cambiate le seguenti chiavi di registro:

Disattiva il firewall di Windows:

[HKLM\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\
   FirewallPolicy\StandardProfile]
   Nuovo valore:
   • "EnableFirewall"=dword:00000000

Disattiva il firewall di Windows:

[HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\
   FirewallPolicy\StandardProfile]
   Nuovo valore:
   • "EnableFirewall"=dword:00000000

 Come il virus si inserisce nei processi Si inserisce come thread remoto in un processo.

    Nome del processo:
   • svchost.exe



Si inserisce come thread remoto in un processo.

    Nome del processo:
   • services.exe


 Dettagli del file Software di compressione:
Per complicarne l'individuazione e ridurre la dimensione del file, viene compresso con un software di compressione.

Descrizione inserita da Ana Maria Niculescu su giovedì 16 settembre 2010
Descrizione aggiornata da Ana Maria Niculescu su giovedì 16 settembre 2010

Indietro . . . .
https:// Questa finestra è criptata per tua sicurezza.