VírusTR/OnlineGam.187539
Data em que surgiu:03/11/2009
Tipo:Trojan
Incluído na lista "In The Wild"Sim
Nível de danos:De baixo a médio
Nível de distribuição:De baixo a médio
Nível de risco:De baixo a médio
Ficheiro estático:Sim
Tamanho:187.539 Bytes
MD5 checksum:2e5eff01b2dcdcf2dda3b66d0d124cb4
Versão IVDF:7.01.06.185 - terça-feira, 3 de novembro de 2009

 Vulgarmente Meio de transmissão:
   • Autorun feature (pt)


Alias:
   •  Panda: W32/Lineage.KTI
   •  Eset: Win32/PSW.OnLineGames.NNU
   •  Bitdefender: Trojan.Generic.1269521


Sistemas Operativos:
   • Windows 2000
   • Windows XP
   • Windows 2003


Efeitos secundários:
   • Descarrega um ficheiro malicioso
   • Descarrega ficheiros maliciosos
   • Baixa as definições de segurança
   • Altera o registo do Windows

 Ficheiros Autocopia-se para as seguintes localizações
   • %unidade%\pei.cmd
   • %SYSDIR%\kvosoft.exe



Apaga a cópia executada inicialmente.



Elimina o seguinte ficheiro:
   • %SYSDIR%\drivers\klif.sys



São criados os seguintes ficheiros:

– %unidade%\autorun.inf É um ficheiro de texto não malicioso com o seguinte conteúdo:
   •

– %SYSDIR%\dsetwem0.dll Outras investigações apontam para que este ficheiro, também, seja malware. Detectado como: TR/Crypt.ZPACK.Gen

– %SYSDIR%\hgkjghg0.dll Outras investigações apontam para que este ficheiro, também, seja malware. Detectado como: TR/Vundo

– %SYSDIR%\drivers\klif.sys Detectado como: Rkit/Agent.NM




Tenta efectuar o download do ficheiro:

– A partir da seguinte localização:
   • http://frt7k.com/xhg2/**********
Ainda em fase de pesquisa.

 Registry (Registo do Windows) Um dos seguintes valores é adicionado para executar o processo depois reinicializar:

–  [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "kvasoft"="%SYSDIR%\kvosoft.exe"



A seguinte chave de registo e todos os valores são eliminados:
   • [HKLM\System\CurrentControlSet\Services\KAVsys]



São adicionadas as seguintes chaves ao registo:

– [HKLM\SOFTWARE\Classes\TypeLib\
   {CE7C3CE2-4B15-11D1-ABED-709549C10000}\1.0\FLAGS]
   • "@"="0"

– [HKLM\SOFTWARE\Classes\IEHlprObj.IEHlprObj\CurVer]
   • "@"="IEHlprObj.IEHlprObj.1"

– [HKLM\SOFTWARE\Classes\CLSID\
   {CE7C3CF0-4B15-11D1-ABED-709549C10000}]
   • "@"="IEHlprObj Class"

– [HKLM\SOFTWARE\Classes\IEHlprObj.IEHlprObj.1]
   • "@"="IEHlprObj Class"

– [HKLM\SOFTWARE\Classes\Interface\
   {CE7C3CEF-4B15-11D1-ABED-709549C10000}]
   • "@"="IIEHlprObj"

– [HKLM\SOFTWARE\Classes\Interface\
   {CE7C3CEF-4B15-11D1-ABED-709549C10000}\ProxyStubClsid32]
   • "@"="{00020424-0000-0000-C000-000000000046}"

– [HKLM\SOFTWARE\Classes\TypeLib\
   {CE7C3CE2-4B15-11D1-ABED-709549C10000}\1.0\0\win32]
   • "@"="%SYSDIR%\hgkjghg0.dll"

– [HKLM\SOFTWARE\Classes\CLSID\{CE7C3CF0-4B15-11D1-ABED-709549C10000}\
   ProgID]
   • "@"="IEHlprObj.IEHlprObj.1"

– [HKLM\SOFTWARE\Classes\IEHlprObj.IEHlprObj]
   • "@"="IEHlprObj Class"

– [HKLM\SOFTWARE\Classes\Interface\
   {CE7C3CEF-4B15-11D1-ABED-709549C10000}\ProxyStubClsid]
   • "@"="{00020424-0000-0000-C000-000000000046}"

– [HKLM\SOFTWARE\Classes\Interface\
   {CE7C3CEF-4B15-11D1-ABED-709549C10000}\TypeLib]
   • "@"="{CE7C3CE2-4B15-11D1-ABED-709549C10000}"
   • "Version"="1.0"

– [HKLM\SOFTWARE\Classes\TypeLib\
   {CE7C3CE2-4B15-11D1-ABED-709549C10000}\1.0\HELPDIR]
   • "@"="%SYSDIR%\"

– [HKLM\SOFTWARE\Classes\CLSID\{CE7C3CF0-4B15-11D1-ABED-709549C10000}\
   InprocServer32]
   • "@"="%SYSDIR%\hgkjghg0.dll"
   • "ThreadingModel"="Apartment"

– [HKLM\SOFTWARE\Classes\IEHlprObj.IEHlprObj.1\CLSID]
   • "@"="{CE7C3CF0-4B15-11D1-ABED-709549C10000}"

– [HKLM\SOFTWARE\Classes\TypeLib\
   {CE7C3CE2-4B15-11D1-ABED-709549C10000}\1.0]
   • "@"="IEHelper 1.0 Type Library"

– [HKLM\SOFTWARE\Classes\CLSID\{CE7C3CF0-4B15-11D1-ABED-709549C10000}\
   VersionIndependentProgID]
   • "@"="IEHlprObj.IEHlprObj"

– [HKLM\System\CurrentControlSet\Services\KAVsys]
   • "ErrorControl"=dword:0x00000001
   • "ImagePath"="\??\%SYSDIR%\drivers\klif.sys"
   • "Start"=dword:0x00000001
   • "Type"=dword:0x00000001



Altera as seguintes chaves de registo do Windows:

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
   Valor recente:
   • "Hidden"=dword:0x00000002
   • "ShowSuperHidden"=dword:0x00000000

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\
   Folder\Hidden\SHOWALL]
   Valor recente:
   • "CheckedValue"=dword:0x00000000

 Detalhes do ficheiro Empacotador de Runtime:
De forma a agravar a detecção e reduzir o tamanho do ficheiro é lançado com um empacotador de runtime.

Descrição enviada por Petre Galan em terça-feira, 2 de março de 2010
Descrição atualizada por Petre Galan em quarta-feira, 3 de março de 2010

Voltar . . . .