TR/Dldr.CWS.S.29 - Trojan

Vedi anche

In breve

Descrizione completa

Statistiche

Nome del virus:	TR/Dldr.CWS.S.29
Scoperto:	01/03/2006
Tipo:	Trojan
Sottotipo:	Downloader
In circolazione (ITW):	No
Numero delle infezioni segnalate:	Basso
Potenziale di propagazione:	Basso
Potenziale di danni:	Medio-Basso
File statico:	Si
Dimensione del file:	15.872 Byte
Somma di controllo MD5:	5f064d5069a17385feb54c3092a662db
Versione VDF:	6.33.01.42

Generale Metodo di propagazione:
   • Nessuna propria procedura di propagazione

Alias:
   • Kaspersky: Trojan-Downloader.Win32.CWS.s
   • Bitdefender: Trojan.Downloader.CWS.DZ

Piattaforme / Sistemi operativi:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effetti secondari:
   • Scarica un file “maligno”
   • Modifica del registro
   • Accesso e controllo del computer da parte di terzi

File Si copia alla seguente posizione:
   • %WINDIR%\inet20001\services.exe

Una sezione viene aggiunta a un file.
– A: %SYSDIR%.ini Con i seguenti contenuti:
   • [Windows]
     load=%WINDIR%\inet20001\services.exe

Questo esegue il file menzionato dopo il riavvio.

Cancella i seguenti file:
   • C:\web.exe
   • %ALLUSERSPROFILE%\Start Menu\Programs\Startup\Microsoft Office.hta

Prova a scaricare un file:

– La posizione è la seguente:
   • xvideobase.info/gallery20001/xpsystem/**********
Viene salvato in locale sotto: %WINDIR%\inet20001\winlogon.exe Inoltre questo file viene eseguito dopo essere stato completamente scaricato. Ulteriori analisi hanno accertato che questo file è anch'esso un malware.

Registro – [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "xp_system"="%WINDIR%\inet20001\services.exe"

– [HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
   • "xp_system"="%WINDIR%\inet20001\services.exe"

Registra un “browser helper object” (BHO) aggiungendo la seguente chiave:

– [HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\
   Browser Helper Objects\{5321E378-FFAD-4999-8C62-03CA8155F0B3}]
   • "@" = ""

Vengono aggiunte le seguenti chiavi di registro:

– [HKCU\Software\Microsoft\Internet Explorer\Main]
   • "Enable Browser Extensions" = "yes"

– [HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows]
   • "run"="%WINDIR%\inet20001\services.exe"

Backdoor Contatta il server:
Tutti i seguenti:
   • xvideobase.info/affcgi/**********
   • xvideobase.info/gallery20001/xpsystem/**********
   • thecaty.info/gallery20001/xpsystem/**********
   • vetpool.info/gallery20001/xpsystem/**********

Come risultato viene fornita la capacità di controllare da remoto. Questo viene fatto tramite la richiesta HTTP GET in uno script PHP.

Capacità di controllo remoto:
    • Download di file

Dettagli del file Software di compressione:
Per complicarne l'individuazione e ridurre la dimensione del file, viene compresso con il seguente software di compressione:
• PECompact

Per la descrizione "in breve" clicca qui.

Descrizione inserita da Daniel Constantin il Thu, 09 Mar 2006 10:25 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Indietro