TR/Spy.Banker.GN.118784 - Trojan

Ver também

Sumário

Descrição completa

Estatísticas

Vírus	TR/Spy.Banker.GN.118784
Data em que surgiu:	02/11/2006
Tipo:	Trojan
Incluído na lista "In The Wild"	Não
Nível de danos:	Baixo
Nível de distribuição:	Baixo
Nível de risco:	De baixo a médio
Ficheiro estático:	Sim
Tamanho:	118.784 Bytes
MD5 checksum:	b555647ee3464114a5c2d43b0b470799
Versão VDF:	6.36.00.150
Versão IVDF:	6.36.00.167

Vulgarmente Meio de transmissão:
   • Não tem rotinas de propagação

Alias:
   • Kaspersky: Trojan-Spy.Win32.Bancos.yt
   • Sophos: Mal/VBBanc-A
   • Grisoft: PSW.Banker2.STH
   • Eset: Win32/Spy.Bancos.U
   • Bitdefender: Generic.Banker.VB.C4AE81C9

Sistemas Operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efeitos secundários:
   • Descarrega ficheiros
   • Altera o registo do Windows
   • Informação de roubos

Ficheiros Autocopia-se para a seguinte localização:
   • %SYSDIR%\tasklist32.exe

Tenta efectuar o download de alguns ficheiros:

– A partir da seguinte localização:
   • http://www.pcmicro01.vila.bol.com.br/**********
Este ficheiro pode conter localizações de descarregamento adicionais e poderá servir como fonte para novas ameaças .

– A partir da seguinte localização:
   • http://www.pcmicro01.vila.bol.com.br/beto1/**********
Este ficheiro pode conter localizações de descarregamento adicionais e poderá servir como fonte para novas ameaças .

Registry (Registo do Windows) A chave seguinte é adicionada (num loop infinito) ao registo, para executar os processos depois de reinicializar.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "TaskList"="\"%SYSDIR%\tasklist32.exe\""

É adicionada a seguinte chave de registo:

– [HKLM\SOFTWARE\INTEL\LANDesk\VirusProtect6\CurrentVersion\Storages\
   InternetMail\RealTimeScan]
   • "OnOff"=dword:00000000

E-mail Não tem a sua própria rotina de propagação mas tem capacidade para enviar um e-mail. É provável que o destinatário seja o autor. As características são as seguintes:

De:
O remetente do e-mail é o seguinte:
   • antonioautentica@yahoo.com.br

Para:
Os destinatários do e-mail são os seguintes:
   • williansantunes@bol.com.br
   • pulse@bol.com.br

Assunto:
O seguinte:
   • Nova Coleta ! % data actual% %tempo actual%

Corpo:
–  The body is constructed using a regular expresseio (pt)
O corpo do email é o seguinte:

   • %uma série de caracteres aleatórios%

Continua com o seguinte:

   • Msg da versão.: OR - %número% -Erro no arquivo

O email pode ser parecido com o seguinte:

Roubos de informação Tenta roubar a seguinte informação:
– Palavras-chave digitadas em 'campos de entrada de palavras-chave'

– É iniciada uma rotina de logging depois de visitar um dos seguintes Web sites:
   • www2.bancobrasil.com.br
   • https://www2.bancobrasil.com.br/aapf/saldos/006.jsp?codT=0
   • https://www2.bancosbrasil.com.br/aapff/aaii/principal
   • http://www.internetcaixa.caixa.gov.br
   • https://bankline.itau.com.br/GRIPNET/gracgi.exe
   • http://www.bankline.itau.com.br

– Captura:
    • Janela de informação
    • Informação de login

–É exibida uma janela do Windows semelhante à seguinte:

Detalhes do ficheiro Linguagem de programação:
Ficheiro escrito em Visual Basic.

Empacotador de Runtime:
De forma a agravar a detecção e reduzir o tamanho do ficheiro é lançado com o seguinte empacotador de runtime:
• PE Compact

Veja aqui uma breve descrição.

Descrição adicionada por Monica Ghitun em Thu, 02 Nov 2006 14:54 (GMT+1)
Descrição adicionada por Monica Ghitun em Tue, 21 Nov 2006 15:39 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back