TR/PSW.Maran.G.5 - Trojan

参照

概要

詳しい説明

統計

ウイルス	TR/PSW.Maran.G.5
発見日：	02/08/2006
タイプ	トロイの木馬
感染報告有り	いいえ
感染報告	低
感染の可能性	低
ダメージ・ポテンシャル	低～中
スタティック・ファイル	はい
ファイル・サイズ	52.599 バイト
MD5　チェックサム	c851c808d7a10F0E45a7f0771b152a64
VDFファージョン：	6.35.01.35
IVDFファージョン：	6.35.01.35

一般情報 感染方法
   • それ自体に伝染能力はない

プラットフォーム/OS：
   • ウインドウズ 95
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • ファイルを作成します。
   • 悪意ファイルを作成します。
   • レジストリの改変。
   • 情報を盗みます。

ファイル最初に実行したコピーの方を削除します。

以下のファイルが作成されます：

– このファイルは一時的に使用されるタイプで、後で消去される可能性があります。
• %SYSDIR%\sporder.dll

– %SYSDIR%\gzfmxp.dll
– %SYSDIR%\hjxrbpv.dll 詳しい調査の結果、このファイルもマルウェアであることが判明しました。以下のように検出されました： TR/PSW.Maran.M

– %SYSDIR%\narbpv.dll 詳しい調査の結果、このファイルもマルウェアであることが判明しました。以下のように検出されました： TR/PSW.Maran.M.1

– %SYSDIR%\xprasu.dll 詳しい調査の結果、このファイルもマルウェアであることが判明しました。以下のように検出されました： TR/PSW.Maran.M.2

– %SYSDIR%\xpvlporn.dll 詳しい調査の結果、このファイルもマルウェアであることが判明しました。

レジストリ以下のレジストリ・キーが追加されます：

– HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9\Catalog_Entries\000000000013
   • "PackedCatalogItem"=%SYSDIR%\xprasu.dll%hex値%

以下のレジストリ・キーは変更されます：

– HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9
   新しい値
   • "Serial_Access_Num"=word:00000006
     "Next_Catalog_Entry_ID"=word:000003f6
     "Num_Catalog_Entries"=word:0000000d

– HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9\Catalog_Entries\000000000012
   新しい値
   • "PackedCatalogItem"=%SystemRoot%\system32\mswsock.dll%hex値%

– HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9\Catalog_Entries\000000000011
   新しい値
   • "PackedCatalogItem"=%SystemRoot%\system32\mswsock.dll%hex値%

– HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9\Catalog_Entries\000000000010
   新しい値
   • "PackedCatalogItem"=%SystemRoot%\system32\mswsock.dll.6%hex値%

– HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9\Catalog_Entries\000000000009
   新しい値
   • "PackedCatalogItem"=%SystemRoot%\system32\mswsock.dll.6%hex値%

– HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9\Catalog_Entries\000000000008
   新しい値
   • "PackedCatalogItem"=%SystemRoot%\system32\mswsock.dll%hex値%

– HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9\Catalog_Entries\000000000007
   新しい値
   • "PackedCatalogItem"=%SystemRoot%\system32\mswsock.dll%hex値%

– HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9\Catalog_Entries\000000000006
   新しい値
   • "PackedCatalogItem"=%SystemRoot%\system32\rsvpsp.dll%hex値%

– HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9\Catalog_Entries\000000000005
   新しい値
   • "PackedCatalogItem"=%SystemRoot%\system32\rsvpsp.dll%hex値%

– HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9\Catalog_Entries\000000000004
   新しい値
   • "PackedCatalogItem"=%SystemRoot%\system32\mswsock.dll%hex値%

– HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9\Catalog_Entries\000000000003
   新しい値
   • "PackedCatalogItem"=%SystemRoot%\system32\mswsock.dll%hex値%

– HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9\Catalog_Entries\000000000002
   新しい値
   • "PackedCatalogItem"=%SystemRoot%\system32\mswsock.dll%hex値%

– HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9\Catalog_Entries\000000000001
   新しい値
   • "PackedCatalogItem"=%SYSDIR%\xprasu.dll%hex値%

ファイルの詳細 プログラム言語:
このマルウェアプログラムはDelphi(デルファイ)で書かれています。

ランタイム・パッカー
検出されにくくするため、またファイルのサイズを縮小するため、ランタイム・パッカーで圧縮してあります。

簡単な説明はココにあります。.

この説明は Marius T. Nicolae によって Mon, 18 Sep 2006 09:10 (GMT+1) 書き込まれました。
この説明は Andrei Ivanes によって Wed, 18 Oct 2006 11:15 (GMT+1) 更新されました。

» About Malware
» About Phishing
» Viruses In the Wild

« back