TR/Renova.A - Trojan

参照

概要

詳しい説明

統計

ウイルス	TR/Renova.A
発見日：	19/07/2006
タイプ	トロイの木馬
感染報告有り	いいえ
感染報告	低
感染の可能性	低
ダメージ・ポテンシャル	低～中
スタティック・ファイル	はい
ファイル・サイズ	34.816 バイト
MD5　チェックサム	aced41c2c5f1a66a9288fba1a5fdbeba
VDFファージョン：	6.35.00.185 - Wed, 19 Jul 2006 10:53 (GMT+1)
IVDFファージョン：	6.35.00.225

一般情報 感染方法
   • それ自体に伝染能力はない

別名
   • Kaspersky(カスペルスキー) Trojan.Win32.Agent.qj
   • ビットディフェンダー(Bitdefender)： Trojan.Renova.A

プラットフォーム/OS：
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • セキュリティ・アプリケーションを無効にします。
   • セキュリティの設定を低くします。
   • レジストリの改変。

ファイルそれ自体を以下の場所にコピーします。
   • %SYSDIR%\emma.exe
   • %SYSDIR%\nova.exe
   • %SYSDIR%\alisa.exe
   • %PROGRAM FILES%\Common Files\Renova.exe

以下のファイルを起動しようとします：

– 以下のファイルのうちのどれかを起動しようとします：
   • %SYSDIR%\emma.exe

– 以下のファイルのうちのどれかを起動しようとします：
   • %SYSDIR%\alisa.exe

レジストリ以下のレジストリ・キーは、再起動後にそのプロセスを実行するために追加されたものです：

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "Shell"="%PROGRAM FILES%\Common Files\Renova.exe"

以下のレジストリ・キーが、再起動後そのプロセスを実行するため、無限ループの中に持続的に追加されます：

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "Renova"="Nova.exe"

以下のレジストリ・キーは変更されます：

– [HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot]
   前の値
   • "AlternateShell"="cmd.exe"
   新しい値
   • "AlternateShell"="%PROGRAM FILES%\Common Files\Renova.exe"

– [HKLM\SYSTEM\ControlSet%番号% \Control\SafeBoot]
   前の値
   • "AlternateShell"="cmd.exe"
   新しい値
   • "AlternateShell"="%PROGRAM FILES%\Common Files\Renova.exe"

あらゆるExplorerの設定:
– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\
   Folder\Hidden\NOHIDDEN]
   前の値
   • "CheckedValue"=%ユーザ設定%
   • "DefaultValue"=%ユーザ設定%
   新しい値
   • "CheckedValue"=dword:00000002
   • "DefaultValue"=dword:00000002

あらゆるExplorerの設定:
– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\
   Folder\Hidden\SHOWALL]
   前の値
   • "CheckedValue"=%ユーザ設定%
   • "DefaultValue"=%ユーザ設定%
   新しい値
   • "CheckedValue"=dword:00000001
   • "DefaultValue"=dword:00000002

あらゆるExplorerの設定:
– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\
   Folder\HideFileExt]
   前の値
   • "CheckedValue"=%ユーザ設定%
   • "DefaultValue"=%ユーザ設定%
   新しい値
   • "CheckedValue"=dword:00000001
   • "DefaultValue"=dword:00000001

あらゆるExplorerの設定:
– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
   前の値
   • "NoSaveSettings"=%ユーザ設定%
   • "NoFolderOptions"=%ユーザ設定%
   • "NoFind"=%ユーザ設定%
   • "NoRun"=%ユーザ設定%
   • "NoControlPanel"=%ユーザ設定%
   新しい値
   • "NoSaveSettings"=dword:00000000
   • "NoFolderOptions"=dword:00000001
   • "NoFind"=dword:00000001
   • "NoRun"=dword:00000000
   • "NoControlPanel"=dword:00000000

あらゆるExplorerの設定:
– [HKCU\Software\Microsoft\Windows\CurrentVersion\
   Group Policy Objects\LocalUser\Software\Microsoft\Windows\
   CurrentVersion\Policies\System]
   前の値
   • "DisableRegistryTools"=%ユーザ設定%
   新しい値
   • "DisableRegistryTools"=dword:00000000

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System]
   前の値
   • "DisableRegistryTools"=%ユーザ設定%
     "DisabletaskMgr"=%ユーザ設定%
   新しい値
   • "DisableRegistryTools"=dword:00000000
     "DisabletaskMgr"=dword:00000000

– [HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore]
   前の値
   • "DisableConfig"=%ユーザ設定%
     "DisableSR"=%ユーザ設定%
   新しい値
   • "DisableConfig"=dword:00000001
     "DisableSR"=dword:00000001

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
   前の値
   • "Shell"="Explorer.exe"
     "Userinit"="%SYSDIR%\userinit.exe"
   新しい値
   • "Shell"="explorer.exe "%PROGRAM FILES%\Common Files\Renova.exe"
     "Userinit"="explorer.exe "%PROGRAM FILES%\Common Files\Renova.exe"

– [HKCU\Software\Policies\Microsoft\Windows\System]
   前の値
   • "DisableCMD"=%ユーザ設定%
   新しい値
   • "DisableCMD"=dword:00000000

プロセス中断以下のウインドウのタイトルを含むプロセスが終了されます：
   • CompactbyteAV; Advanced Registry Tracer; Setup - iKnowPS; iKnowPS;
      RamCleaner; System Cleaner; TuneUp RegistryCleaner; Antivirus Scanner;
      Zanda's little helper; Norman Generic Fix; NVC v5.81 Setup; Norman
      Virus Control - InstallShield Wizard; Process Explorer - Sysinternals:
      www.sysinternals.com; Pocket Killbox; RegCleaner 4.1 by Jouni Vuorio;
      Security Task Manager Versi shareware tanpa registrasi; Security Task
      Manager; Installation; EULA; PowerDVD; Windows Media Player; System
      Restore; Restrictions; Close Programs; Close Program; Task Manager;
      HijackThis; HijackThis - v1.99.1; Else; TURN 0FF REN0VA; Renova
      Aliciana; Microsoft Configuration Utility; System Configuration
      Utility; Registry Editor; open; Windows Task Manager; Renova Emira;
      RABIAH; RABI'AH; MANTIK; PLATO; KINDI; IMAMAH; MATURID; HARUN NAS;
      IZUTSU; TEOLOGI; SUFI; PARTAI; HASAN ALBANA; IKHWANUL MUSLIMIN;
      TAHRIR; ARISTOTELES; GIBRAN; GHAZALI; IHYA; GENDER; PLURALISME; SYIAH;
      SYI'AH; DEMOCRA; DEMOKRA; LIBERAL; TASAWUF; SAMIR; YUNAN; QUTH;
      EMANSIP; PHILOSOP; MUTAZILAH; MU'TAZILAH; FILOSOF; FILSAFAT;
      REALPLAYER; CLEANER; MOVZX; REMOVER; ZANDA; MACHINE; CILLIN; CILIN;
      AVAST; GRISOFT; PROCEXP; NORTON; EARTHLINK PROTECTION; WASHER;
      COMPACTBYTEAV; ADVANCED REGISTRY TRACER; KILL; CASTLECOPS; SOPHOS;
      F-SECURE; REGISTRYFIX; PANDA; SECUNIA; TREND; SYMANTEC; KASPERSKY;
      AVG; MCAFEE; NVC; NORMAN; VAKSIN; HACKER; PROCESS EXPLORER -
      SYSINTERNALS; PCMAV; HIJACK; KILLBOX; VIRUS; ANTI; EMIKO SHIRATORI;
      FAYE WONG; UEMATSU; NUOBUO; NOUBUO; NOBUO; NUBUO; MADONNA; MADONA;
      BENNINGTON; BENINGTON; GUN AND ROSE; GUN N ROSE; BLUR; SAMMY; PEARL;
      NAZARE; FRENTE; CRANBER; RADIOHEAD; RADIO HEAD; STING; SAYBIA; KEANE;
      GROBAN; ALTER; STEFAN; GWEN; MAROON; ANTHEM; GROOVE COVARAGE; PRODIGY;
      AGUILERA; BEDING; METALLICA; GUN N'ROSES; ALICIA KEYS; TATA YOUNG; BOY
      ZONE; MICHEL; MICHAEL; MICHEAL; MLTR; MARTYN; MARTIN; SCORPION; LINKIN
      PARK; LINKINPARK; GREEN DAY; GREENDAY; HOOBASTANK; PETER; WEST; SPICE;
      BRITNEY; DEDI DOR; NIA DANIAT; DAHLIA; NIKE ARD; BAGASKARA; KATON;
      NAFF; TITIK PUSPA; TITIEK PUSPA; DELON; SNADA; JOSHUA; SHERINA;
      SERIEUS; SERIUES; SEURIUS; 10 2 5; TENTOFIVE; TEN2FIVE; 10 TO 5; TEN
      TO FIVE; TEN 2 FIVE; CHRISYE; SO7; SHEILA; GLENN; AURIL; AVRIL; OPICK;
      AGNES; ANANG; NUGIE; HADAD; HADDAD; AB THREE; REZA; CAFEIN; CAFFEIN;
      RATU; RADJA; LALUNA; THE RAIN; UTOPIA; SPARK; BASEJAM; ENDANK; JAVA
      JIVE; MARCEL; BUNGLON; ANDRE HEHANU; FLANELA; BAIM; CANDIL; KOES P;
      MINORU; NUNO; YOVI; AUDY; TERE; WAYANG; BASE JAM; JIKUSTIK; SAMSON;
      PAS BAND; BOOMERANG; NAIF; COKELAT; KAPTEN BAND; TIC BAND; JAMRUD;
      KOTAK BAND; AMERICAN IDOL; INDONESIAN IDOL; TEAM LO; BUNGA; TIPE-X;
      TIPE X; ELEMENT; EMINEM; RAIHAN; RAYHAN; MELY; MELLY; UNGU; STINGKY;
      SLANK; INUL; PADI; IWAN FAL; ADABAND; ADA BAND; ROSA; KRISDAYANTI;
      NURHALIZA; DEWA; ARY LASO; ARY LASSO; ARI LASO; ARI LASSO; GIGI;
      CHEER; DANCE; SING; SONG; MP 3; MP3; MARAWIS; NASYID; DANGDUT; MELODI;
      MELODY; SENANDUNG; IRAMA; GITAR; GUITAR; NYANYI; LAGU; WINAMP; MUSIK;
      Shell_TrayWnd; MUSIC

その他 Mutex(ミューテック)
以下のMutex(ミューテック）を作成します：
• Renova Emira
• Renova Aliciana

ファイルの詳細 プログラム言語:
このマルウェアプログラムはMS Visual C++で書かれています。

ランタイム・パッカー
検出されにくくするため、またファイルのサイズを縮小するため、以下のランタイム・パッカーで圧縮してあります。
• UPX

簡単な説明はココにあります。.

この説明は Adriana Popa によって Thu, 27 Jul 2006 14:04 (GMT+1) 書き込まれました。
この説明は Adriana Popa によって Thu, 27 Jul 2006 16:36 (GMT+1) 更新されました。

» About Malware
» About Phishing
» Viruses In the Wild

« back