Full description

病毒:	Worm/Pinit.LM
发现日期:	13/12/2012
类型:	蠕虫
广泛传播:	是
病毒传播个案呈报：	低程度至中程度
感染/传播能力：	低程度至中程度
破坏 / 损害程度：	低程度至中程度
静态文件:	是
文件大小:	230.912 字节
MD5 校检和:	e1c27eabd1fbb5d67ebd112b1c2bd973
VDF 版本:	7.11.53.216 - donderdag 13 december 2012
IVDF 版本:	7.11.53.216 - donderdag 13 december 2012

况概描述 传播方法:
   • 局域网络

别名:
   • Sophos: Mal/Agent-AS
   • Bitdefender: Trojan.Generic.KD.12782
   • Panda: W32/Pinit.L.worm
   • Eset: Win32/Pinit.AF

平台/操作系统:
   • Windows 2000
   • Windows XP
   • Windows 2003

副作用:
   • 下载恶意文件
   • 植入恶意文件
   • 注册表修改

文件它将本身复制到以下位置:
   • %SYSDIR%\cooper.mine

删除以下文件:
   • %SYSDIR%\iaoxpcnm

创建以下文件:

– %SYSDIR%\user32.dll
– %SYSDIR%\dllcache\user32.dll 进一步的调查表明，此文件是恶意软件。检测为: TR/Patched.Gen2

– %SYSDIR%\h7t.wt
– %SYSDIR%\hgtd.ruy
– %SYSDIR%\iaoxpcnm 进一步的调查表明，此文件是恶意软件。检测为: TR/Patched.Gen2

– %SYSDIR%\xohydwgtew
– %SYSDIR%\nmklo.dll 进一步的调查表明，此文件是恶意软件。检测为: TR/Crypt.ZPACK.Gen

它会尝试下载一些文件:

– 该位置如下所示:
   • http://adobecompany.co.uk/tpsa/**********

– 该位置如下所示:
   • http://adobecompany.co.uk/tpsa/**********

– 该位置如下所示:
   • http://polujopa.com/tpsa/gate/**********

它会尝试执行以下文件:

– 文件名:
   • "%SYSDIR%\Wbem\wmic.exe" path win32_terminalservicesetting where (__Class!="") call setallowtsconnections 1

注册表会添加以下注册表项目注册值:

– [HKLM\SOFTWARE\9]
   • "31897356954C2CD3D41B221E3F24F99BBA"=dword:0x00bbdf19
   • "31AC70412E939D72A9234CDEBB1AF5867B"="kgomncpjpnogoconproiodorqjqoqhqfrprgmlmlocrhrlqnogkrpcpipp"
   • "31C2E1E4D78E6A11B88DFA803456A1FFA5"=dword:0x00000000

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion]
   • "MID"="768B998032D24F5B884188F60F1552A62D029965BA8E41AEA90FA997C70822DA"

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
   • "Appixtt_Dlls"="nmklo"

– [HKLM\SOFTWARE\1]
   • "31897356954C2CD3D41B221E3F24F99BBA"=dword:0x00bbdf19
   • "31AC70412E939D72A9234CDEBB1AF5867B"="nqrckqqlqdrqrirprhqoqrqdopoinfnhmjmqrjrjlmmrrrnpqgnonk"
   • "31C2E1E4D78E6A11B88DFA803456A1FFA5"=dword:0x00000000

– [HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\
   Licensing Core]
   • "EnableConcurrentSessions"=dword:0x00000001

会更改以下注册表项:

– [HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server]
   新值:
   • "fDenyTSConnections"=dword:0x00000000

网络感染该恶意软件会尝试以下方式连接其他计算机来作广泛传播／感染。

漏洞攻击:
它会利用以下漏洞攻击:
– MS04-011 (LSASS 漏洞)

后门程序会打开以下端口:

– 174.36.1**********.1********** 在 TCP 端口上 35524

文件详细信息 运行时压缩程序:
为了提高检测难度以及减小文件，它已使用运行时压缩程序进行压缩。

Description inserted by Petre Galan on dinsdag 27 juli 2010
Description updated by Petre Galan on dinsdag 27 juli 2010

Terug . . . .

Mijn Account