TR/PSW.Hangame.CM - Trojan

Ver também

Sumário

Descrição completa

Estatísticas

Vírus	TR/PSW.Hangame.CM
Data em que surgiu:	19/10/2006
Tipo:	Trojan
Incluído na lista "In The Wild"	Não
Nível de danos:	Baixo
Nível de distribuição:	Baixo
Nível de risco:	Médio
Ficheiro estático:	Sim
Tamanho:	80.896 Bytes
MD5 checksum:	52d693b8696f803f255bfdc7047b8aed
Versão VDF:	6.36.00.137
Versão IVDF:	6.36.00.154

Vulgarmente Meio de transmissão:
   • Não tem rotinas de propagação

Alias:
   • Mcafee: PWS-Gamania
   • Kaspersky: Trojan-PSW.Win32.Hangame.cl
   • F-Secure: Trojan-PSW.Win32.Hangame.cl
   • Sophos: Troj/Lineag-E
   • VirusBuster: Trojan.PWS.Lineage.AJM
   • Eset: Win32/PSW.Lineage.AJP

Sistemas Operativos:
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efeitos secundários:
   • Descarrega um ficheiro malicioso
   • Informação de roubos

Ficheiros Autocopia-se para a seguinte localização:
   • %PROGRAM FILES%\Windows Media Player\svchost.exe

Apaga a cópia executada inicialmente.

São criados os seguintes ficheiros:

– %TEMPDIR%\$$c2E.tmp.bat Além disso executa-se depois de gerado. Este ficheiro de processamento em lote é usado para apagar um ficheiro.
– %SYSDIR%\PDLL.dll Além disso executa-se depois de gerado. Outras investigações apontam para que este ficheiro, também, seja malware. Detectado como: TR/PSW.Hangame.CM

Tenta efectuar o download de alguns ficheiros:

– A partir da seguinte localização:
   • http://www.gameanai.com/linegae/**********
Encontra-se no disco rígido: %WINDIR%\d1.dat

– A partir da seguinte localização:
   • http://www.gameanai.com/linegae/**********
Encontra-se no disco rígido: %WINDIR%\d2_.exe Além disso executa-se depois do download estar completo. Outras investigações apontam para que este ficheiro, também, seja malware. Detectado como: TR/Crypt.NSAnti.Gen

Registry (Registo do Windows) O seguinte valor do registo é alterado:

– HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
   Valor anterior:
   • "Userinit"="%SYSDIR%\userinit.exe,"
   Valor recente:
   • "Userinit"="%SYSDIR%\userinit.exe,%PROGRAM FILES%\Windows Media Player\svchost.exe,"

Backdoor Contacta o servidor:
Seguinte:
   • http://huang13062236333.www111.cni**********

Como resultado pode enviar alguma informação.

Envia informação sobre:
    • Nome do computador
    • Endereço IP
    • Informação recolhida na secção de roubos.

Roubos de informação Tenta roubar a seguinte informação:

– É iniciada uma rotina de logging depois de visitar um Web site, que contenha o seguinte texto no URL:
• http://tw.login.yahoo.com/cgi-bin/login.cgi?srv=

– Captura:
• Informação de login

Introdução de código viral noutros processos – Introduz o seguinte ficheiro num processo: %SYSDIR%\PDLL.dll

Nome do processo:
• %todos os processo em execução%

Detalhes do ficheiro Linguagem de programação:
Ficheiro escrito em Delphi.

Empacotador de Runtime:
De forma a agravar a detecção e reduzir o tamanho do ficheiro é lançado com o seguinte empacotador de runtime:
• UPX

Veja aqui uma breve descrição.

Descrição adicionada por Teodor Onisor em Fri, 27 Oct 2006 17:34 (GMT+1)
Descrição adicionada por Teodor Onisor em Tue, 31 Oct 2006 09:55 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back