TR/PSW.Small.BS.2 - Trojan

参照

概要

詳しい説明

統計

ウイルス	TR/PSW.Small.BS.2
発見日：	12/09/2006
タイプ	トロイの木馬
感染報告有り	はい
感染報告	低
感染の可能性	低
ダメージ・ポテンシャル	中
スタティック・ファイル	はい
ファイル・サイズ	12.592 バイト
MD5　チェックサム	978ded8c7055e4c5e650600D2fcc0C3f
VDFファージョン：	6.35.01.216 - Tue, 12 Sep 2006 17:06 (GMT+1)
IVDFファージョン：	6.35.01.220 - Wed, 13 Sep 2006 12:16 (GMT+1)

一般情報 感染方法
   • それ自体に伝染能力はない

別名
   • Sophos(ソフォス) Troj/PWS-HP
   • ビットディフェンダー(Bitdefender)： Trojan.PSW.Small.B

プラットフォーム/OS：
   • ウインドウズ 95
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • ファイルを作成します。
   • 悪意ファイルを作成します。
   • レジストリの改変。
   • 情報を盗みます。

ファイルそれ自体を以下の場所にコピーします。
• %WINDIR%\9129837.exe

最初に実行したコピーの方を削除します。

以下のファイルが作成されます：

– %WINDIR%\hide_evr2.sys 詳しい調査の結果、このファイルもマルウェアであることが判明しました。以下のように検出されました： TR/PSW.Small.BS.3

– %実行されたマルウェアのディレクトリ%\a.bat このバッチ・ファイルはファイルを削除するのに使われます。

レジストリ再起動後そのプロセスを実行するため、以下の値のうちの１つを追加します：

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "ttool"="%WINDIR%\9129837.exe"

以下のレジストリ・キーは、再起動後にそのサービスを読み込むために追加されたものです：

– [HKLM\SYSTEM\CurrentControlSet\Services\hide_evr2]
   • "Type"=dword:00000001
     "Start"=dword:00000003
     "ErrorControl"=dword:00000000
     "ImagePath"=\??\%WINDIR%\hide_evr2.sys
     "DisplayName"="!!!!"

– [HKLM\SYSTEM\CurrentControlSet\Services\hide_evr2\Security]
   • "Security"=%hex値%

– [HKLM\SYSTEM\CurrentControlSet\Services\hide_evr2\Enum]
   • "0"="Root\\LEGACY_HIDE_EVR2\\0000"
     "Count"=dword:00000001
     "NextInstance"=dword:00000001

以下のレジストリ・キーが追加されます：

– [HKCU\Software\Microsoft\InetData]
   • "k1"=%ランダムな文字列%
   • "k2"=%ランダムな文字列%

バックドア以下のポートが開かれます：
無作為に選ばれたUDPポート上にバックドアを開くため

サーバに接続します。
以下のもの：
   • http://81.95.147.107/cgi-bin/**********
   • http://81.95.147.107/cgi-bin/**********
   • http://81.95.147.107/cgi-bin/**********
   • http://81.95.147.107/cgi-bin/**********
   • http://81.95.147.107/cgi-bin/**********

結果、いくつかの情報を送る可能性があり、リモート・コントロール機能が生まれるかもしれません。これはPHPスクリプトを使ったHTTP GETとPOSTメソッドを通して行われました。

以下についての情報を送ります：
    • 現在のマルウェアのステータス
    • 窃盗セクションに説明されている収集された情報

窃盗以下の情報を盗もうとします：
– パスワード入力箇所に入力されたパスワード

– ウェブサイトを訪問した後ログインを開始します：
   • %ログインフォームを含むすべてのウェブサイト%

– 取り込むのは：
    • ウインドウ情報
    • ブラウザ・ウインドウ

ルートキット・テクノロジー(Rootkit Technology) 以下のものを隠します：
– それ自身のファイル
– それ自身のプロセス
– それ自身のレジストリ・キー

使用されているメソッド：
• ウインドウズAPIから隠されています：

ファイルの詳細 ランタイム・パッカー
検出されにくくするため、またファイルのサイズを縮小するため、ランタイム・パッカーで圧縮してあります。

簡単な説明はココにあります。.

この説明は Marius T. Nicolae によって Fri, 22 Sep 2006 09:54 (GMT+1) 書き込まれました。
この説明は Andrei Ivanes によって Thu, 19 Oct 2006 14:27 (GMT+1) 更新されました。

» About Malware
» About Phishing
» Viruses In the Wild

« back