TR/Spy.BZub.DG.1 - Trojan

Ver também

Sumário

Descrição completa

Estatísticas

Vírus	TR/Spy.BZub.DG.1
Data em que surgiu:	06/09/2006
Tipo:	Trojan
Incluído na lista "In The Wild"	Não
Nível de danos:	Baixo
Nível de distribuição:	Baixo
Nível de risco:	Médio
Ficheiro estático:	Sim
Tamanho:	86.232 Bytes
MD5 checksum:	d9293079adae74d999bd6efbb2151e62
Versão VDF:	6.35.01.190
Versão IVDF:	6.35.01.194

Vulgarmente Meio de transmissão:
   • Não tem rotinas de propagação

Alias:
   • Mcafee: Spy-Agent.ak
   • Kaspersky: Trojan-Spy.Win32.BZub.dg
   • TrendMicro: TSPY_BZUB.DG
   • F-Secure: Trojan-Spy.Win32.BZub.dg
   • Eset: Win32/Spy.BZub.DG

Sistemas Operativos:
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efeitos secundários:
   • Descarrega um ficheiro malicioso
   • Baixa as definições de segurança
   • Guarda as teclas digitadas
   • Altera o registo do Windows
   • Informação de roubos

Ficheiros São criados os seguintes ficheiros:

– %SYSDIR%\form.txt É um ficheiro de texto não malicioso com o seguinte conteúdo:
• % informação roubada%

– %SYSDIR%\ipv6mons.dll Outras investigações apontam para que este ficheiro, também, seja malware. Detectado como: TR/Spy.BZub.DG.2

Registry (Registo do Windows) Os valores da seguinte chave Registo são eliminados:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Control Panel\load]
   • "h"
   • "wspopp"
   • "forwas"
   • "nw"

Regista um Objecto de Ajuda do Browser(BHOs) adicionando as seguintes chaves ao registo do Windows:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
   Browser Helper Objects\{73364D99-1240-4dff-B11A-67E448373048}]
– [HKCR\CLSID\{73364D99-1240-4dff-B11A-67E448373048}]
– [HKCR\CLSID\{73364D99-1240-4dff-B11A-67E448373048}\InprocServer32]
   • @="%SYSDIR%\ipv6mons.dll"
   • "ThreadingModel"="apartment"
   • "Enable Browser Extensions"="yes"

Cria a seguinte entrada de forma a fazer um bypass à firewall do Windows XP:

– [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\
   FirewallPolicy\StandardProfile\AuthorizedApplications\List]
   • "%PROGRAM FILES%\Internet Explorer\IEXPLORE.EXE"="%PROGRAM
      FILES%\Internet Explorer\IEXPLORE.EXE:*:Enabled:Internet Explorer"

É adicionada a seguinte chave de registo:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Control Panel\load]
   • "net_insll"=%oito caracteres aleatórios%
   • "worg"=%valores hex%
   • "cmpid"=%valores hex%

Backdoor Contacta o servidor:
Seguinte:
   • http://81.95.147.138/sqlstat/**********

Como resultado pode enviar alguma informação.

Envia informação sobre:
    • Nome do computador
    • Endereço IP
    • Informação recolhida na secção de roubos.
    • Hora de Sistema
    • Informação sobre o sistema operativo Windows

Roubos de informação Tenta roubar a seguinte informação:
– Windows Product ID
– Palavras-chave digitadas em 'campos de entrada de palavras-chave'
– Informações da conta de e-mail obtidas da chave de registo: HKCU\Software\Microsoft\Internet Account Manager\Accounts

– É iniciada uma rotina de logging depois de visitar um Web site:
• %qualquer website que contenha um formulário de login%

– Captura:
• Informação de login

Detalhes do ficheiro Linguagem de programação:
Ficheiro escrito em MS Visual C++.

Veja aqui uma breve descrição.

Descrição adicionada por Adriana Popa em Tue, 03 Oct 2006 10:36 (GMT+1)
Descrição adicionada por Adriana Popa em Tue, 03 Oct 2006 15:10 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back