VírusTR/Agent.fds.1
Data em que surgiu:13/03/2009
Tipo:Trojan
Incluído na lista "In The Wild"Sim
Nível de danos:Médio
Nível de distribuição:Médio
Nível de risco:Médio
Ficheiro estático:Sim
Tamanho:713.728 Bytes
MD5 checksum:2e83508d94d90Edac1a78d69cb78a347
Versão IVDF:7.01.02.164 - sexta-feira, 13 de março de 2009

 Vulgarmente Alias:
   •  Symantec: Infostealer.Banker.C
   •  Mcafee: PWS-Zbot trojan !!!
   •  Kaspersky: Trojan-Spy.Win32.Zbot.gen
   •  Sophos: Troj/Zbot-DX
   •  Panda: Trj/Sinowal.WJA
   •  Eset: Win32/Spy.Zbot.JF trojan
   •  Bitdefender: Trojan.Spy.ZBot.WI


Sistemas Operativos:
   • Windows 2000
   • Windows XP
   • Windows 2003


Efeitos secundários:
   • Descarrega um ficheiro
   • Descarrega um ficheiro malicioso
   • Baixa as definições de segurança
   • Altera o registo do Windows
   • Informação de roubos

 Ficheiros  Copia-se a si próprio para a seguinte localização. São adicionados caracteres aleatórios no final do ficheiro para ser diferente do original.
   • %SYSDIR%\sdra64.exe



São criados os seguintes ficheiros:

– Ficheiros temporários que poderam ser apagados mais tarde:
   • %SYSDIR%\lowsec\local.ds
   • %SYSDIR%\lowsec\user.ds
   • %SYSDIR%\lowsec\user.ds.lll




Tenta efectuar o download do ficheiro:

– A partir da seguinte localização:
   • http://cashtor.net/**********
Ainda em fase de pesquisa.

 Registry (Registo do Windows) É adicionado o seguinte valor ao registo do Windows de forma a que o processo seja executado depois do computador ser reiniciado:

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
   • "Userinit"="%definições do utilizador %,%SYSDIR%\sdra64.exe,"



O seguinte valor do registo é alterado:

Desactiva a Firewall do Windows
– [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\
   FirewallPolicy\StandardProfile]
   Valor recente:
   • "EnableFirewall"=dword:0x0

 Tecnologia de Rootkit Oculta o seguinte:
– O seu próprio ficheiro


Forma utilizada
    • Esconde-se na API do Windows
    • Bloqueia a Tabela de Importação de Endereços (IAT)

Bloqueia as seguintes funções API:
   • ntdll.dll -> LdrGetProcedureAddress
   • ntdll.dll -> LdrLoadDll
   • ntdll.dll -> NtCreateThread
   • ntdll.dll -> NtQueryDirectoryFile
   • user32.dll -> TranslateMessage
   • user32.dll -> GetClipboardData

 Detalhes do ficheiro Empacotador de Runtime:
De forma a agravar a detecção e reduzir o tamanho do ficheiro é lançado com um empacotador de runtime.

Descrição enviada por Petre Galan em terça-feira, 13 de outubro de 2009
Descrição atualizada por Andrei Ivanes em quinta-feira, 15 de outubro de 2009

Voltar . . . .