TR/PSW.Legendmir.DT - Trojan

Ver também

Sumário

Descrição completa

Estatísticas

Vírus	TR/PSW.Legendmir.DT
Data em que surgiu:	10/10/2006
Tipo:	Trojan
Incluído na lista "In The Wild"	Sim
Nível de danos:	Baixo
Nível de distribuição:	Baixo
Nível de risco:	Médio
Ficheiro estático:	Sim
Tamanho:	52.217 Bytes
MD5 checksum:	4dd6ae5c4efd96ee00ccad73c6b7ab38
Versão VDF:	6.36.00.61
Versão IVDF:	6.36.00.75

Vulgarmente Meio de transmissão:
   • Não tem rotinas de propagação

Alias:
   • Mcafee: PWS-WoW trojan
   • Kaspersky: Trojan-PSW.Win32.WOW.jf
   • Sophos: Troj/WOW-HI
   • Eset: Win32/PSW.Legendmir

Sistemas Operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efeitos secundários:
   • Descarrega ficheiros
   • Altera o registo do Windows
   • Aproveita-se de vulnerabilidades do software
   • Informação de roubos

Ficheiros Autocopia-se para as seguintes localizações
   • %WINDIR%\LSASS.exe
   • %WINDIR%\EXERT.exe
   • %PROGRAM FILES%\Internet Explorer\INTEXPLORE.com
   • %PROGRAM FILES%\Common Files\INTEXPLORE.pif
   • %SYSDIR%\dxdiag.com
   • %SYSDIR%\MSCONFIG.COM
   • %SYSDIR%\regedit.com
   • %WINDIR%\Debug\DebugProgram.exe
   • D:\command.com

É criado o seguinte ficheiro:

– D:\autorun.inf Além disso executa-se depois de gerado. Contém parâmetros utilizados pelo malware.

Registry (Registo do Windows) A chave seguinte é adicionada (num loop infinito) ao registo, para executar os processos depois de reinicializar.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "ToP"="%WINDIR%\LSASS.exe"

O valor da seguinte chave Registo é eliminado:

– [HKLM\SECURITY\RXACT\Log]

A seguinte chave de registo e todos os valores são eliminados:
   • [HKLM\SAM\SAM]

São adicionadas as seguintes chaves ao registo:

– [HKCR\WindowFiles\DefaultIcon]
   • "(Default)"="%1"

– [HKCR\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\
   OpenHomePage\Command]
   • "(Default)"=""%PROGRAM FILES%\Internet Explorer\INTEXPLORE.com""

– [HKCR\WindowFiles\Shell\Open\Command]
   • "(Default)"="%WINDIR%\EXERT.exe "%1" %*"

– [HKCU\Software\VB and VBA Program Settings\Microsoft Soft Debuger\
   Settings]
   • "GUID"="{E4C6MY-V2IHI1-3W0IJ0-JG4EWB-6O7JE8}"

Altera as seguintes chaves de registo do Windows:

– [HKCU\Software\Microsoft\Internet Explorer\Main]
   Valor recente:
   • "Check_Associations"="No"

– [HKCR\htmlfile\shell\open\command]
   Valor recente:
   • "(Default)"=""%PROGRAM FILES%\Internet Explorer\INTEXPLORE.com" -nohome"

– [HKCR\Applications\iexplore.exe\shell\open\command]
   Valor recente:
   • "(Default)"=""%PROGRAM FILES%\Internet Explorer\INTEXPLORE.com" %1"

– [HKCR\ftp\shell\open\command]
   Valor recente:
   • "(Default)"=""%PROGRAM FILES%\Internet Explorer\INTEXPLORE.com" %1"

– [HKCR\htmlfile\shell\opennew\command]
   Valor recente:
   • "(Default)"=""%PROGRAM FILES%\Common Files\INTEXPLORE.pif" %1"

– [HKCR\http\shell\open\command]
   Valor recente:
   • "(Default)"=""%PROGRAM FILES%\Common Files\INTEXPLORE.pif" %1"

– [HKCR\.exe]
   Valor recente:
   • "(Default)"="WindowFiles"

Infecção da rede Exploit:
Faz uso do seguinte Exploit:
– MS04-011 (LSASS Vulnerability)

Terminar o processo A seguinte lista de processos são terminados:
   • RAVMON*; TROJDIE*; KPOP*; CCENTER*; *ASSISTSE*; KPFW*; AGENTSVR*; KV*;
      KREG*; IEFIND*; IPARMOR*; SVI.EXE; UPHC*; RULEWIZE*; FYGT*; RFWSRV*;
      RFWMA*; TROJAN*; MMSK*

Roubos de informação Tenta roubar a seguinte informação:
– Palavras-chave digitadas em 'campos de entrada de palavras-chave'

– A palavra-chave do seguinte programa:
   • World of Warcraft

– É iniciada uma rotina de logging depois de visitar um dos seguintes Web sites:
   • us.logon.worldofwarcraft.com
   • eu.logon.worldofwarcraft.com
   • tw.logon.worldofwarcraft.com

– Captura:
    • Informação de login

Detalhes do ficheiro Linguagem de programação:
Ficheiro escrito em Visual Basic.

Empacotador de Runtime:
De forma a agravar a detecção e reduzir o tamanho do ficheiro é lançado com um empacotador de runtime.

Veja aqui uma breve descrição.

Descrição adicionada por Monica Ghitun em Tue, 10 Oct 2006 15:52 (GMT+1)
Descrição adicionada por Monica Ghitun em Wed, 01 Nov 2006 09:43 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back