TR/Agent.DL.2 - Trojan

Vedi anche

In breve

Descrizione completa

Statistiche

Nome del virus:	TR/Agent.DL.2
Scoperto:	24/08/2005
Tipo:	Worm
In circolazione (ITW):	Si
Numero delle infezioni segnalate:	Basso
Potenziale di propagazione:	Basso
Potenziale di danni:	Medio
File statico:	Si
Dimensione del file:	36.969 Byte
Somma di controllo MD5:	13f81b6b0d9cd62837cfebc22777cf63
Versione VDF:	6.31.01.176

Generale Metodo di propagazione:
   • Nessuna propria procedura di propagazione

Alias:
   • Kaspersky: Trojan-Spy.Win32.Agent.gf
   • TrendMicro: TROJ_AGENT.XZ
   • Sophos: Troj/Dermon-D
   • Panda: Trj/Agent.AII
   • VirusBuster: Trojan.Agent.PK

Piattaforme / Sistemi operativi:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effetti secondari:
   • Disattiva le applicazioni di sicurezza
   • Duplica file
   • Abbassa le impostazioni di sicurezza
   • Registra le battute di tastiera
   • Modifica del registro
   • Sottrae informazioni
   • Accesso e controllo del computer da parte di terzi

File Si copia alla seguente posizione:
• %SYSDIR%\winserver.exe

Cancella la copia di se stesso eseguita inizialmente.

Vengono creati i seguenti file:

– %SYSDIR%\winserv.dll Ulteriori analisi hanno accertato che questo file è anch'esso un malware.
– %SYSDIR%\winserv32.dll Ulteriori analisi hanno accertato che questo file è anch'esso un malware.
– %SYSDIR%\winserv.ini Contiene parametri utilizzati dal malware.
– %SYSDIR%\winserv.dat Questo file contiene le battute di tastiera recuperate.

Prova a scaricare un file:

– La posizione è la seguente:
• http://pleskin.**********.ua/part3/check.dat

Registro Le seguenti chiavi di registro vengono aggiunte per eseguire i processi dopo il riavvio:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "win32 internet server"="%SYSDIR%\winserver.exe"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
   • "win32 internet server"="%SYSDIR%\winserver.exe"

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "win32 internet server"="%SYSDIR%\winserver.exe"

Vengono cambiate le seguenti chiavi di registro:

– [HKLM\SOFTWARE\Classes\https\shell\open\command]
   Valore precedente:
   • @="%PROGRAM FILES%\Internet Explorer\iexplore.exe" -nohome
   Nuovo valore:
   • @="%PROGRAM FILES%\Internet Explorer\Iexplore.exe"

– [HKLM\SOFTWARE\Classes\http\shell\open\command]
   Valore precedente:
   • @="%PROGRAM FILES%\Internet Explorer\iexplore.exe" -nohome
   Nuovo valore:
   • @="%PROGRAM FILES%\Internet Explorer\Iexplore.exe"

Processi terminati Lista dei processi che vengono terminati:
   • zonealarm.exe
   • zonalm2601.exe
   • outpost.exe

Backdoor Le seguenti porte sono aperte:

– %SYSDIR%\lsass.exe su una porta TCP casuale con lo scopo di procurarsi delle possibili backdoor.
– %SYSDIR%\lsass.exe su una porta TCP casuale con lo scopo di procurarsi delle possibili backdoor.

Contatta il server:
Il seguente:
   • http://pleskin.**********.ua/

Come risultato può inviare alcune informazioni. Questo viene fatto tramite la richiesta HTTP GET in uno script PHP.
Questo è fatto tramite il metodo HTTP POST utilizzando uno script PHP.

Invia informazioni riguardanti:
    • File LOG creati
    • Variabili d'ambiente
    • Indirizzo IP
    • Informazioni sulla rete
    • Porta aperta
    • Informazioni sul sistema operativo Windows

Sottrazione di informazioni – Dopo aver visitato uno dei seguenti siti web viene avviata una procedura di “tracciamento”:
   • https://www.e-gold.com/acct/balance.asp
   • https://www.e-gold.com/acct/accountinfo.asp
   • https://www.e-gold.com/acct/acct.asp

– Dopo aver visitato un sito web, che nel suo URL contiene una delle seguenti sottostringhe, viene avviata una procedura di “tracciamento”:
   • "e-gold"
   • "e-bullion"
   • "intgold"
   • "1MDC"
   • "Pecunix"
   • "GoldMoney"
   • "Virtualgold"
   • "NetPay"
   • "paymer"
   • "e-gold"
   • "e-bullion"
   • "intgold"
   • "1MDC"
   • "Pecunix"
   • "GoldMoney"
   • "Virtualgold"
   • "NetPay"
   • "paymer"

– Cattura:
    • Battute di tastiera
    • Informazioni della finestra

Come il virus si inserisce nei processi – Si inserisce come thread in un processo.

Nome del processo:
• lsass.exe

Varie Mutex:
Crea il seguente Mutex:
• IS_ALIVE

Tecnologia Rootkit È una tecnologia specifica del malware. Il malware si nasconde dalle utilità di sistema, dalle applicazioni di sicurezza e, alla fine, dall'utente.

Nasconde il seguente:
– I propri file

Metodo utilizzato:
• Nascosto dalle Windows API

Dettagli del file Linguaggio di programmazione:
Il malware è stato scritto in Borland C++.

Software di compressione:
Per complicarne l'individuazione e ridurre la dimensione del file, viene compresso con un software di compressione.

Per la descrizione "in breve" clicca qui.

Descrizione inserita da Oliver Auerbach il Wed, 24 Aug 2005 20:58 (GMT+1)
Descrizione aggiornata da Oliver Auerbach il Fri, 26 Aug 2005 00:31 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Indietro