TR/Autoit.X - Trojan

Ver também

Sumário

Descrição completa

Estatísticas

Vírus	TR/Autoit.X
Data em que surgiu:	24/10/2006
Tipo:	Trojan
Incluído na lista "In The Wild"	Não
Nível de danos:	Baixo
Nível de distribuição:	De baixo a médio
Nível de risco:	De baixo a médio
Ficheiro estático:	Sim
Tamanho:	184.830 Bytes
MD5 checksum:	49f1472c7d714b55675c4787c65e8b4f
Versão VDF:	6.36.00.154
Versão IVDF:	6.36.00.171

Vulgarmente Meio de transmissão:
   • Messenger

Alias:
   • Mcafee: W32/YahLover.worm
   • Kaspersky: Trojan.Win32.Autoit.x
   • Sophos: Troj/Tiotua-A
   • VirusBuster: Trojan.KeySpyLog.H
   • Bitdefender: Win32.Worm.Sohanat.E

Sistemas Operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efeitos secundários:
   • Descarrega um ficheiro
   • Altera o registo do Windows

Ficheiros – A partir da seguinte localização:
• http://chendang.net/nguyen/**********
Encontra-se no disco rígido: %WINDIR%\taskmng.exe Ainda em fase de pesquisa.

Registry (Registo do Windows) É adicionado o seguinte valor ao registo do Windows de forma a que o processo seja executado depois do computador ser reiniciado:

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • "Task Manager"="%WINDIR%\taskmng.exe"

São adicionadas as seguintes chaves ao registo:

– HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System
   • "DisableTaskMgr"=dword:00000001
   • "DisableRegistryTools"=dword:00000001

– HKCU\Software\Microsoft\Internet Explorer\Main
   • "Window Title"="Lam dc gi khi gio la con so 0 ..."

– HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel
   • "Homepage"=dword:00000001

Altera as seguintes chaves de registo do Windows:

– HKCU\Software\yahoo\pager\View\YMSGR_Launchcast
   Valor recente:
   • "content url"="http://chendang.net/nguyen/"

– HKCU\Software\yahoo\pager\View\YMSGR_buzz
   Valor recente:
   • "content url"="http://chendang.net/nguyen/"

– HKCU\Software\Microsoft\Internet Explorer\Main
   Valor recente:
   • "Start Page"="http://chendang.net/nguyen/"

Messenger Propaga-se através do Messenger. Tem as seguintes características:

– Yahoo Messenger

Para:
Todas as entradas na lista de contactos.

Mensagem
A mensagem enviada parece-se com uma das seguintes:

   • Ai muon diet virut thi` vao day, ba` kon du`ng co' click vao nhung site khac nhe ... http://chendang.net/**********

   • Bay gio` bu`n wa' chang biet lam gi` , gui? ta.ng ba kon trang nay vao choi... http://chendang.net/**********

   • Cha` cha` !!! Ai ma` bi con virus thi` vao day ma` diet no diiiiii ... http://chendang.net/**********

   • Con gai nha ai ma` xinh the ko biet nua~ , dep ghe vao day di ... http://chendang.net/**********

   • Dem nay ko co em , dem dai bong nhien day hon huhu :((... http://chendang.net/**********

   • Gio phai lam gi tiep theo day pa kon giup tui voi ... http://chendang.net/**********

   • Me kiep ghet nhat la thang nao` ma` choi con virut do' , ai bi vao day xoa no nhe'... http://chendang.net/**********

   • Nha'm chen dang an ti`nh nay ma lo`ng nguoi nao co hay !!! Van biet yeu thuong la` tro` dua` ma` minh van me say ;))... http://chendang.net/**********

   • Tha nguoi dung noi se yeu minh toi mai thoi thi gio day toi se vui hon. Gio nguoi lac loi buoc chan ve noi xa xoi, cay dang chi rieng minh toi... http://chendang.net/**********

   • Toi di lang thang lan trong bong toi buot gia, ve dau khi da mat em roi? Ve dau khi bao nhieu mo mong gio da vo tan... Ve dau toi biet di ve dau? http://chendang.net/**********

Na hora de análise o ficheiro já não se encontrava online.

As mensagens recebidas têm a seguinte aparência:

Detalhes do ficheiro Linguagem de programação:
Ficheiro escrito em MS Visual C++.

Empacotador de Runtime:
De forma a agravar a detecção e reduzir o tamanho do ficheiro é lançado com o seguinte empacotador de runtime:
• UPX

Veja aqui uma breve descrição.

Descrição adicionada por Ionut Slaveanu em Thu, 28 Sep 2006 11:10 (GMT+1)
Descrição adicionada por Andrei Ivanes em Mon, 27 Nov 2006 15:55 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back