TR/PSW.Maran.B.2 - Trojan

Ver também

Sumário

Descrição completa

Estatísticas

Vírus	TR/PSW.Maran.B.2
Data em que surgiu:	14/09/2006
Tipo:	Trojan
Incluído na lista "In The Wild"	Não
Nível de danos:	Baixo
Nível de distribuição:	Baixo
Nível de risco:	De baixo a médio
Ficheiro estático:	Sim
Tamanho:	45.376 Bytes
MD5 checksum:	8d0A7f99f9fafbe2f0bee1e54177e7f5
Versão VDF:	6.35.01.115
Versão IVDF:	6.35.01.116

Vulgarmente Meio de transmissão:
   • Não tem rotinas de propagação

Alias:
   • F-Secure: Trojan-PSW.Win32.Maran.f
   • Bitdefender: Trojan.PWS.Maran.B

Sistemas Operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efeitos secundários:
   • Descarrega ficheiros
   • Descarrega um ficheiro malicioso
   • Altera o registo do Windows

Ficheiros Apaga a cópia executada inicialmente.

São criados os seguintes ficheiros:

– %SYSDIR%\mssbupx.dll Outras investigações apontam para que este ficheiro, também, seja malware. Detectado como: TR/PSW.Maran.F

– %SYSDIR%\sporder.dll
– %SYSDIR%\delmeml.bat Este ficheiro de processamento em lote é usado para apagar um ficheiro.

Registry (Registo do Windows) São adicionadas as seguintes chaves ao registo:

– [HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9\Catalog_Entries\000000000001]
   • "PackedCatalogItem"=%valores hex%

– [HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9\Catalog_Entries\000000000002]
   • "PackedCatalogItem"=%valores hex%

– [HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9\Catalog_Entries\000000000003]
   • "PackedCatalogItem"=%valores hex%

– [HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9\Catalog_Entries\000000000004]
   • "PackedCatalogItem"=%valores hex%

– [HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9\Catalog_Entries\000000000005]
   • "PackedCatalogItem"=%valores hex%

– [HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9\Catalog_Entries\000000000006]
   • "PackedCatalogItem"=%valores hex%

– [HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9\Catalog_Entries\000000000007]
   • "PackedCatalogItem"=%valores hex%

– [HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9\Catalog_Entries\000000000008]
   • "PackedCatalogItem"=%valores hex%

– [HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9\Catalog_Entries\000000000009]
   • "PackedCatalogItem"=%valores hex%

– [HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9\Catalog_Entries\000000000010]
   • "PackedCatalogItem"=%valores hex%

– [HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9\Catalog_Entries\000000000011]
   • "PackedCatalogItem"=%valores hex%

– [HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9\Catalog_Entries\000000000012]
   • "PackedCatalogItem"=%valores hex%

– [HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9\Catalog_Entries\000000000013]
   • "PackedCatalogItem"=%valores hex%

– [HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9]
   • "Serial_Access_Num"=dword:00000006
   • "Next_Catalog_Entry_ID"=dword:000003f6

O seguinte valor do registo é alterado:

– [HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9]
   Valor recente:
   • "Num_Catalog_Entries"=dword:0000000d

– [HKLM\SYSTEM\CurrentControlSet\Services\WS2IFSL]
   Valor recente:
   • "Start"=dword:00000003

Detalhes do ficheiro Linguagem de programação:
Ficheiro escrito em Delphi.

Empacotador de Runtime:
De forma a agravar a detecção e reduzir o tamanho do ficheiro é lançado com um empacotador de runtime.

Veja aqui uma breve descrição.

Descrição adicionada por Monica Ghitun em Thu, 14 Sep 2006 14:00 (GMT+1)
Descrição adicionada por Andrei Ivanes em Fri, 13 Oct 2006 10:39 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back