TR/Banload.XY.2 - Trojan

Ver também

Sumário

Descrição completa

Estatísticas

Vírus	TR/Banload.XY.2
Data em que surgiu:	20/01/2006
Tipo:	Trojan
Incluído na lista "In The Wild"	Não
Nível de danos:	Baixo
Nível de distribuição:	Baixo
Nível de risco:	Médio
Ficheiro estático:	Sim
Tamanho:	14.438 Bytes
MD5 checksum:	7cd461b1d4b7c8b04828bc9303be9c19
Versão VDF:	6.33.01.34

Vulgarmente Meio de transmissão:
   • Não tem rotinas de propagação

Alias:
   • Kaspersky: Trojan-Spy.Win32.Delf.or

Sistemas Operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efeitos secundários:
   • Descarrega ficheiros
   • Altera o registo do Windows
   • Informação de roubos

Depois de executado é visualizada a seguinte informação:

Ficheiros Elimina o seguinte ficheiro:
   • %SYSDIR%\winte.html

São criados os seguintes ficheiros:

– %directório de execução do malware%\sui.dll
– %directório de execução do malware%\suact\004.act É um ficheiro de texto não malicioso com o seguinte conteúdo:
   • 004.act

– %directório de execução do malware%\suact\011.act É um ficheiro de texto não malicioso com o seguinte conteúdo:
   • 011.act

– %directório de execução do malware%\suact\013.act É um ficheiro de texto não malicioso com o seguinte conteúdo:
   • 013.act

– %directório de execução do malware%\suact\015.act É um ficheiro de texto não malicioso com o seguinte conteúdo:
   • 015.act

– %directório de execução do malware%\wint.ini
– %SYSDIR%\winte.html
– %directório de execução do malware%\suskn\004.sns
– %directório de execução do malware%\suskn\011.sns
– %directório de execução do malware%\suskn\013.sns
– %directório de execução do malware%\suskn\015.sns
– %SYSDIR%\ierror.rep É um ficheiro de texto não malicioso com o seguinte conteúdo:
   • [% data actual%][%hora actual%]#PROGRAMM INSTALLED!#


– %directório de execução do malware%\sei.dll
– %directório de execução do malware%\sucontr\UVER.ctr É um ficheiro de texto não malicioso com o seguinte conteúdo:
   • 1.12

Registry (Registo do Windows) Regista um Objecto de Ajuda do Browser (BHO) adicionando a seguinte chave ao registo do Windows:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
   Browser Helper Objects\{3A4E6FF3-BF59-446E-9DC8-731BCE2F349A}]

São adicionadas as seguintes chaves ao registo:

– [HKCR\CLSID\{3A4E6FF3-BF59-446E-9DC8-731BCE2F349A}\InprocServer32]
   • @="%directório de execução do malware%\msupdate.dll"
   • "ThreadingModel"="Apartment"

– [HKCR\CLSID\{3A4E6FF3-BF59-446E-9DC8-731BCE2F349A}\ProgID]
   • @="msupdate.Microsoft Update Service"

– [HKCR\CLSID\{3A4E6FF3-BF59-446E-9DC8-731BCE2F349A}]
   • @="NETWORK SERVICE"

– [HKCR\msupdate.Microsoft Update Service]
   • @="NETWORK SERVICE"

– [HKCR\msupdate.Microsoft Update Service\Clsid]
   • @="{3A4E6FF3-BF59-446E-9DC8-731BCE2F349A}"

Backdoor Contacta o servidor:
Seguintes:
   • http://oxygunn.com/aerodrom/**********
   • http://oxygunn.com/aerodrom/**********
   • http://oxygunn.com/aerodrom/**********

Como resultado pode enviar alguma informação. Isto é feito usando o método HTTP POST através de scripts PHP.

Envia informação sobre:
    • Situação actual de malware
    • Informação recolhida na secção de roubos.
    • Hora de Sistema

Roubos de informação Tenta roubar a seguinte informação:

– É iniciada uma rotina de logging depois de visitar um dos seguintes Web sites:
   • barclays.co.uk
   • hsbc.co.uk
   • olb2.nationet.com
   • deutsche-bank.de
   • nwolb.com
   • co-operativebank.co.uk
   • my.if.com
   • smile.co.uk
   • cahoot.com
   • webbank.openplan.co.uk
   • anbusiness.com
   • https://olb2.nationet.com/MyAccounts/
   • https://olb2.nationet.com
   • https://ibank.barclays.co.uk/olb/q/LoginPasscode
   • https://ibank.barclays.co.uk/olb/q/LoginMember.do
   • https://welcome6.co-operativebank.co.uk/CBIBSWeb/loginSpi.do
   • https://welcome6.co-operativebank.co.uk/CBIBSWeb/start.do

Detalhes do ficheiro Linguagem de programação:
Ficheiro escrito em Delphi.

Empacotador de Runtime:
De forma a agravar a detecção e reduzir o tamanho do ficheiro é lançado com o seguinte empacotador de runtime:
• ASPack

Veja aqui uma breve descrição.

Descrição adicionada por Iulia Diaconescu em Mon, 20 Mar 2006 17:11 (GMT+1)
Descrição adicionada por Iulia Diaconescu em Tue, 21 Mar 2006 11:06 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back