TR/Spy.ZBot.dbi - Trojan

Vedi anche

In breve

Descrizione completa

Statistiche

Nome del virus:	TR/Spy.ZBot.dbi
Scoperto:	09/07/2008
Tipo:	Trojan
In circolazione (ITW):	Si
Numero delle infezioni segnalate:	Medio-Basso
Potenziale di propagazione:	Basso
Potenziale di danni:	Medio
File statico:	Si
Dimensione del file:	56.832 Byte
Somma di controllo MD5:	5a1434342ac892e7fc3c004977de6fd3
Versione IVDF:	7.00.05.71

Generale Metodo di propagazione:
   • Nessuna propria procedura di propagazione

Alias:
   • Kaspersky: Trojan-Spy.Win32.Zbot.dbi
   • F-Secure: Trojan-Downloader:W32/Zlob.HSY
   • Sophos: Troj/Agent-HEY
   • Eset: Win32/Spy.Agent.PZ trojan
   • Bitdefender: Trojan.Spy.Zbot.GF

Piattaforme / Sistemi operativi:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effetti secondari:
   • Modifica del registro
   • Sottrae informazioni
   • Accesso e controllo del computer da parte di terzi

File Si copia alla seguente posizione:
   • %SYSDIR%\ntos.exe

Vengono creati i seguenti file:

– File ad uso temporaneo che possono essere cancellati in seguito:
   • %SYSDIR%\wnspoem\audio.dll
   • %SYSDIR%\wnspoem\video.dll

Registro Vengono cambiate le seguenti chiavi di registro:

– [HKLM\software\microsoft\windows nt\currentversion\winlogon]
   Valore precedente:
   • "userinit"="%SYSDIR%\userinit.exe,"
   Nuovo valore:
   • "userinit"="%SYSDIR%\userinit.exe,%SYSDIR%\ntos.exe,"

– [HKLM\software\microsoft\Windows nt\currentversion\network]
   Nuovo valore:
   • "UID"="%nome del computer%_%valori esadecimali%"

Email Non possiede una propria procedura di propagazione, però si trasmette tramite email. Le caratteristiche sono descritte qui di seguito:

Da:
L'indirizzo del mittente è falso.

Oggetto:
Il seguente:
   • Ihr UPS Paket %stringa di caratteri casuale%

Corpo dell'email:
Il corpo dell’email è come il seguente:

   • Guten Tag,
     leider konnten wir ihren Paket gesendet am 01. Juli nicht zustellen, da
     die Adresse des Empfangers nicht existiert. Drucken Sie bitte den Lieferschein im Anhang dieser Mail aus,
     und holen Sie ihr Paket bei uns ab.
     Mit freundlichen Grussen,
     Ihre UPS

File allegato:
Il nome del file allegato è:
   • UPS_Lieferschein.zip

L'allegato è un archivio che contiene una copia del malware stesso.

Backdoor Viene aperta la seguente porta:

– svchost.exe su una porta TCP casuale

Contatta il server:
Il seguente:
• http://fixbserver.ru/**********AhsAAs.bin

Come risultato può inviare informazioni e potrebbe venire fornito il controllo remoto.

Come il virus si inserisce nei processi – Si inserisce in un processo.

Nome del processo:
• winlogon.exe

Dettagli del file Software di compressione:
Per complicarne l'individuazione e ridurre la dimensione del file, viene compresso con un software di compressione.

Per la descrizione "in breve" clicca qui.

Descrizione inserita da Thomas Wegele il Wed, 09 Jul 2008 08:44 (GMT+1)
Descrizione aggiornata da Thomas Wegele il Wed, 09 Jul 2008 09:07 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Indietro