TR/PSW.Legendmir.DT - Trojan

Vedi anche

In breve

Descrizione completa

Statistiche

Nome del virus:	TR/PSW.Legendmir.DT
Scoperto:	10/10/2006
Tipo:	Trojan
In circolazione (ITW):	Si
Numero delle infezioni segnalate:	Basso
Potenziale di propagazione:	Basso
Potenziale di danni:	Medio
File statico:	Si
Dimensione del file:	52.217 Byte
Somma di controllo MD5:	4dd6ae5c4efd96ee00ccad73c6b7ab38
Versione VDF:	6.36.00.61
Versione IVDF:	6.36.00.75

Generale Metodo di propagazione:
   • Nessuna propria procedura di propagazione

Alias:
   • Mcafee: PWS-WoW trojan
   • Kaspersky: Trojan-PSW.Win32.WOW.jf
   • Sophos: Troj/WOW-HI
   • Eset: Win32/PSW.Legendmir

Piattaforme / Sistemi operativi:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effetti secondari:
   • Duplica file
   • Modifica del registro
   • Sfrutta la vulnerabilità del software
   • Sottrae informazioni

File Si copia alle seguenti posizioni:
   • %WINDIR%\LSASS.exe
   • %WINDIR%\EXERT.exe
   • %PROGRAM FILES%\Internet Explorer\INTEXPLORE.com
   • %PROGRAM FILES%\Common Files\INTEXPLORE.pif
   • %SYSDIR%\dxdiag.com
   • %SYSDIR%\MSCONFIG.COM
   • %SYSDIR%\regedit.com
   • %WINDIR%\Debug\DebugProgram.exe
   • D:\command.com

Viene creato il seguente file:

– D:\autorun.inf Viene eseguito ulteriormente dopo che è stato completamente creato. Contiene parametri utilizzati dal malware.

Registro La seguente chiave di registro è aggiunta continuamente in un loop infinito, con lo scopo di eseguire il processo dopo il riavvio.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "ToP"="%WINDIR%\LSASS.exe"

Il valore della seguente chiave di registro viene rimosso:

– [HKLM\SECURITY\RXACT\Log]

La seguente chiave di registro che include tutti i valori e le sottochiavi, viene rimossa:
   • [HKLM\SAM\SAM]

Vengono aggiunte le seguenti chiavi di registro:

– [HKCR\WindowFiles\DefaultIcon]
   • "(Default)"="%1"

– [HKCR\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\
   OpenHomePage\Command]
   • "(Default)"=""%PROGRAM FILES%\Internet Explorer\INTEXPLORE.com""

– [HKCR\WindowFiles\Shell\Open\Command]
   • "(Default)"="%WINDIR%\EXERT.exe "%1" %*"

– [HKCU\Software\VB and VBA Program Settings\Microsoft Soft Debuger\
   Settings]
   • "GUID"="{E4C6MY-V2IHI1-3W0IJ0-JG4EWB-6O7JE8}"

Vengono cambiate le seguenti chiavi di registro:

– [HKCU\Software\Microsoft\Internet Explorer\Main]
   Nuovo valore:
   • "Check_Associations"="No"

– [HKCR\htmlfile\shell\open\command]
   Nuovo valore:
   • "(Default)"=""%PROGRAM FILES%\Internet Explorer\INTEXPLORE.com" -nohome"

– [HKCR\Applications\iexplore.exe\shell\open\command]
   Nuovo valore:
   • "(Default)"=""%PROGRAM FILES%\Internet Explorer\INTEXPLORE.com" %1"

– [HKCR\ftp\shell\open\command]
   Nuovo valore:
   • "(Default)"=""%PROGRAM FILES%\Internet Explorer\INTEXPLORE.com" %1"

– [HKCR\htmlfile\shell\opennew\command]
   Nuovo valore:
   • "(Default)"=""%PROGRAM FILES%\Common Files\INTEXPLORE.pif" %1"

– [HKCR\http\shell\open\command]
   Nuovo valore:
   • "(Default)"=""%PROGRAM FILES%\Common Files\INTEXPLORE.pif" %1"

– [HKCR\.exe]
   Nuovo valore:
   • "(Default)"="WindowFiles"

“Infezione” della rete Exploit:
Sfrutta la seguente vulnerabilità:
– MS04-011 (LSASS Vulnerability)

Processi terminati Lista dei processi che vengono terminati:
   • RAVMON*; TROJDIE*; KPOP*; CCENTER*; *ASSISTSE*; KPFW*; AGENTSVR*; KV*;
      KREG*; IEFIND*; IPARMOR*; SVI.EXE; UPHC*; RULEWIZE*; FYGT*; RFWSRV*;
      RFWMA*; TROJAN*; MMSK*

Sottrazione di informazioni Prova a sottrarre le seguenti informazioni:
– Le password inserite nei campi di input password

– La password dal seguente programma:
   • World of Warcraft

– Dopo aver visitato uno dei seguenti siti web viene avviata una procedura di “tracciamento”:
   • us.logon.worldofwarcraft.com
   • eu.logon.worldofwarcraft.com
   • tw.logon.worldofwarcraft.com

– Cattura:
    • Informazioni di login

Dettagli del file Linguaggio di programmazione:
Il malware è stato scritto in Visual Basic.

Software di compressione:
Per complicarne l'individuazione e ridurre la dimensione del file, viene compresso con un software di compressione.

Per la descrizione "in breve" clicca qui.

Descrizione inserita da Monica Ghitun il Tue, 10 Oct 2006 15:52 (GMT+1)
Descrizione aggiornata da Monica Ghitun il Wed, 01 Nov 2006 09:43 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Indietro