TR/Spy.Bancos.YT.2 - Trojan

Vedi anche

In breve

Descrizione completa

Statistiche

Nome del virus:	TR/Spy.Bancos.YT.2
Scoperto:	22/09/2006
Tipo:	Trojan
In circolazione (ITW):	No
Numero delle infezioni segnalate:	Basso
Potenziale di propagazione:	Basso
Potenziale di danni:	Medio
File statico:	Si
Dimensione del file:	179.200 Byte
Somma di controllo MD5:	17b0f4c1e448749988a91d9d912c827c
Versione VDF:	6.36.00.52
Versione IVDF:	6.36.00.63

Generale Metodo di propagazione:
   • Nessuna propria procedura di propagazione

Alias:
   • Kaspersky: Trojan-Spy.Win32.Bancos.yt
   • F-Secure: Trojan-Spy.Win32.Bancos.yt
   • Sophos: Troj/Bancos-AW
   • Eset: Win32/Spy.Bancos.U

Piattaforme / Sistemi operativi:
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effetti secondari:
   • Utilizza un proprio motore SMTP per l'invio di email
   • Modifica del registro
   • Sottrae informazioni

Giusto dopo l'esecuzione viene visualizzata la seguente informazione:

File Si copia alla seguente posizione:
• %SYSDIR%\nspackk.exe

Viene creato il seguente file:

– %WINDIR%\winhlp32.dat Questo è un file di testo “non maligno” che contiene informazioni sul programma stesso.

Registro Viene aggiunta nel registro la seguente chiave con lo scopo di eseguire il processo dopo il riavvio:

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • "NSpackk"=""%SYSDIR%\nSpackk.exe""

Viene cambiata la seguente chiave di registro:

– HKLM\SOFTWARE\INTEL\LANDesk\VirusProtect6\CurrentVersion\Storages\
   InternetMail\RealTimeScan
   Nuovo valore:
   • "OnOff"=dword:00000000

Email Non ha una propria procedura di diffusione ma ha la capacità di inviare un'email. Molto probabilmente il ricevente è l'autore. Le caratteristiche sono descritte qui sotto:

Design dell'email:
Da: passageiro2006a@yahoo.es
A: caxopa2@yahoo.com.hk
Oggetto: Retorno!!%data corrente% %ora corrente%
Corpo della mail:
   • %dipendente dal sistema%
     Msg da versão.: 5.0.0 OR - 1-Sem arquivo

     .

Invio di messaggi Server MX:
Non utilizza il server MX standard.
Ha la capacità di contattare il server MX:
• smtp.correo.yahoo.es

Sottrazione di informazioni Prova a sottrarre le seguenti informazioni:

– Dopo aver visitato un sito web, che nel suo URL contiene una delle seguenti sottostringhe, viene avviata una procedura di “tracciamento”:
   • www2.bancobrasil.com.br
   • https://www2.bancobrasil.com.br/aapf/saldos/006.jsp?codT=0
   • https://www2.bancosbrasil.com.br/aapff/aaii/principal
   • internetcaixa.caixa.gov.br
   • \BancoBrasil\officeIE\index.html
   • https://bankline.itau.com.br/GRIPNET/gracgi.exe
   • bankline.itau.com.br

– Cattura:
    • Informazioni di login

Dettagli del file Linguaggio di programmazione:
Il malware è stato scritto in Visual Basic.

Software di compressione:
Per complicarne l'individuazione e ridurre la dimensione del file, viene compresso con il seguente software di compressione:
• PECompact

Per la descrizione "in breve" clicca qui.

Descrizione inserita da Teodor Onisor il Thu, 05 Oct 2006 12:03 (GMT+1)
Descrizione aggiornata da Teodor Onisor il Thu, 05 Oct 2006 14:05 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Indietro