TR/Spy.Banker.adi - Trojan

Ver também

Sumário

Descrição completa

Estatísticas

Vírus	TR/Spy.Banker.adi
Data em que surgiu:	14/09/2005
Tipo:	Trojan
Incluído na lista "In The Wild"	Não
Nível de danos:	Baixo
Nível de distribuição:	Baixo
Nível de risco:	Médio
Ficheiro estático:	Sim
Tamanho:	497.959 Bytes
MD5 checksum:	eb3e49ef05fe53fed1d626030e2803bc
Versão VDF:	6.32.0.6

Vulgarmente Alias:
   • Mcafee: PWS-Banker.gen.bb
   • Kaspersky: Trojan-Spy.Win32.Banker.adi

Sistemas Operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efeitos secundários:
   • Utiliza o seu próprio motor de E-mail
   • Guarda as teclas digitadas
   • Altera o registo do Windows
   • Informação de roubos

Ficheiros Autocopia-se para a seguinte localização:
• %WINDIR%\svchosts.exe

Registry (Registo do Windows) É adicionado o seguinte valor ao registo do Windows de forma a que o processo seja executado depois do computador ser reiniciado:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
• "svchosts.exe"="%WINDIR%\svchosts.exe"

E-mail Não tem a sua própria rotina de propagação mas tem capacidade para enviar um e-mail. É provável que o destinatário seja o autor. As características são as seguintes:

Formato do email:
De: "Opa! mais uma infectado - Engenharia MC" <infected@isbt.com.br>
Para: deadskinmask.666@hotmail.com
Assunto: %nome do computador% INFECTADO
Body:
   • Infectado
De: contas@isbt.com.br
Para: deadskinmask.666@hotmail.com
Assunto: INFO AQUI
Body:
   • Infectado

     ------- %nome do banco% -------
     % informação roubada%
De: contas@isbt.com.br
Para: deadskinmask.666@hotmail.com
Assunto: INFO AQUI
Body:
   • Infectado

     ----------->>> %banc name% <<<----------------
     % informação roubada%

O email pode ser parecido com um dos seguintes:

Mailing Tem capacidade para contactar um dos seguintes servidores MX:
   • smtp.isbt.com.br
   • smtp.sbt.terra.com.br
   • smtp.poa.terra.com.br

Roubos de informação – É iniciada uma rotina de logging depois de visitar um dos seguintes Web sites:
   • https://wwwss.bradesco.com.br/
   • empresarial.unibanco.com.br/index.asp
   • ibpf.unibanco.com.br/index.asp

– É iniciada uma rotina de logging depois de visitar um dos seguintes Web sites, que contenha um dos seguintes textos no URL:
   • bradesco.com.br/scripts
   • bradesco
   • uniba
   • caixa

– Captura:
    • Teclar
    • Informação de login

Informações diversas Mutex:
Cria o seguinte Mutex:
• STFK MutexXx

Detalhes do ficheiro Linguagem de programação:
Ficheiro escrito em Delphi.

Empacotador de Runtime:
De forma a agravar a detecção e reduzir o tamanho do ficheiro é lançado com o seguinte empacotador de runtime:
• Petite 2.2

Veja aqui uma breve descrição.

Descrição adicionada por Iulia Diaconescu em Wed, 14 Sep 2005 16:42 (GMT+1)
Descrição adicionada por Iulia Diaconescu em Mon, 19 Sep 2005 10:42 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back