TR/Drop.Starter.M.1 - Trojan

Ver também

Sumário

Descrição completa

Estatísticas

Vírus	TR/Drop.Starter.M.1
Data em que surgiu:	16/10/2006
Tipo:	Trojan
Incluído na lista "In The Wild"	Não
Nível de danos:	Baixo
Nível de distribuição:	Baixo
Nível de risco:	Médio
Ficheiro estático:	Sim
Tamanho:	890.164 Bytes
MD5 checksum:	51da88d0bcd95a6f763f296e7a5aad3a
Versão VDF:	6.36.00.109
Versão IVDF:	6.36.00.125

Vulgarmente Alias:
   • Sophos: Troj/ServU-ED

Sistemas Operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP

Efeitos secundários:
   • Descarrega ficheiros
   • Descarrega um ficheiro malicioso
   • Altera o registo do Windows
   • Possibilita acesso não autorizado ao computador

Ficheiros São criados os seguintes ficheiros:

– Ficheiros não maliciosos:
   • %PROGRAM FILES%\Internet Explorer\lewocXAIrvqopKR.ocx
   • %PROGRAM FILES%\Internet Explorer\t-exec.dll
   • %PROGRAM FILES%\Internet Explorer\t-exec.ini
   • %PROGRAM FILES%\Internet Explorer\tcp_setting.ocx
   • %PROGRAM FILES%\Internet Explorer\updater.dll
   • %PROGRAM FILES%\Internet Explorer\updater.ini
   • %PROGRAM FILES%\Internet Explorer\go.bat

– %PROGRAM FILES%\Internet Explorer\rar.exe Além disso executa-se depois de gerado. Outras investigações apontam para que este ficheiro, também, seja malware. Detectado como: TR/Starter.M

– %PROGRAM FILES%\Internet Explorer\ie-explorer.exe Além disso executa-se depois de gerado. Detectado como: SPR/FTPServ.A

Registry (Registo do Windows) Adiciona a seguinte chave ao registo do Windows para executar o serviço ao iniciar o sistema:

– HKLM\SYSTEM\CurrentControlSet\Services\tcp-ip
   • "Type"=dword:00000010
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000001
   • "ImagePath"="%PROGRAM FILES%\Internet Explorer\ie-explorer.exe"
   • "DisplayName"="Internet Protocol"
   • "ObjectName"="LocalSystem"
   • "Description"="Enables Internet Protocol connections over TCP (TCP/IP) include NetBIOS Support"

São adicionadas as seguintes chaves ao registo:

– HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_TCP-IP
   • "NextInstance"=dword:00000001

– HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_TCP-IP\0000
   • "Service"="tcp-ip"
   • "Legacy"=dword:00000001
   • "ConfigFlags"=dword:00000000
   • "Class"="LegacyDriver"
   • "ClassGUID"="{8ECC055D-047F-11D1-A537-0000F8753ED1}"
   • "DeviceDesc"="Internet Protocol"

– HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_TCP-IP\0000\Control
   • "*NewlyCreated*"=dword:00000000
   • "ActiveService"="tcp-ip"

– HKLM\SYSTEM\CurrentControlSet\Services\tcp-ip\Security
   • "Security"=%hex value%

– HKLM\SYSTEM\CurrentControlSet\Services\tcp-ip\Enum
   • "0"="Root\\LEGACY_TCP-IP\\0000"
   • "Count"=dword:00000001
   • "NextInstance"=dword:00000001

Backdoor São abertas as seguintes portas:

– %PROGRAM FILES%\Internet Explorer\ie-explorer.exe numa porta TCP 1480 Por forma a fornecer um servidor FTP.
– %PROGRAM FILES%\Internet Explorer\ie-explorer.exe numa porta TCP 1908 Por forma a fornecer um servidor FTP.
– %PROGRAM FILES%\Internet Explorer\ie-explorer.exe numa porta TCP 3389 Por forma a fornecer um servidor FTP.
– %PROGRAM FILES%\Internet Explorer\ie-explorer.exe numa porta TCP 6666 Por forma a fornecer um servidor FTP.
– %PROGRAM FILES%\Internet Explorer\ie-explorer.exe numa porta TCP 10000 Por forma a fornecer um servidor FTP.
– %PROGRAM FILES%\Internet Explorer\ie-explorer.exe numa porta TCP 19820 Por forma a fornecer um servidor FTP.
– %PROGRAM FILES%\Internet Explorer\ie-explorer.exe numa porta TCP 21000 Por forma a fornecer um servidor FTP.
– %PROGRAM FILES%\Internet Explorer\ie-explorer.exe numa porta TCP 45120 Por forma a fornecer um servidor FTP.
– %PROGRAM FILES%\Internet Explorer\ie-explorer.exe numa porta TCP 45180 Por forma a fornecer um servidor FTP.
– %PROGRAM FILES%\Internet Explorer\ie-explorer.exe numa porta TCP 65000 Por forma a fornecer um servidor FTP.
– %PROGRAM FILES%\Internet Explorer\ie-explorer.exe numa porta TCP 43958 Por forma a fornecer um servidor FTP.
– %PROGRAM FILES%\Internet Explorer\ie-explorer.exe numa porta TCP 24 Por forma a fornecer um servidor FTP.
– %PROGRAM FILES%\Internet Explorer\ie-explorer.exe numa porta TCP 145 Por forma a fornecer um servidor FTP.

Detalhes do ficheiro Empacotador de Runtime:
De forma a agravar a detecção e reduzir o tamanho do ficheiro é lançado com um empacotador de runtime.

Veja aqui uma breve descrição.

Descrição adicionada por Bogdan Iliuta em Wed, 29 Nov 2006 15:23 (GMT+1)
Descrição adicionada por Andrei Ivanes em Mon, 04 Dec 2006 18:31 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back