TR/Delf.own - Trojan

Ver também

Sumário

Descrição completa

Estatísticas

Vírus	TR/Delf.own
Data em que surgiu:	19/02/2008
Tipo:	Trojan
Incluído na lista "In The Wild"	Sim
Nível de danos:	Baixo
Nível de distribuição:	Baixo
Nível de risco:	Médio
Ficheiro estático:	Sim
Tamanho:	753.664 Bytes
MD5 checksum:	2ca0c132a7ae4c1209c31286acbd507c
Versão IVDF:	7.00.02.156

Vulgarmente Meio de transmissão:
   • Não tem rotinas de propagação

Alias:
   • Kaspersky: Trojan.Win32.Agent.ftz
   • F-Secure: Trojan.Win32.Agent.ftz
   • Sophos: Troj/Agent-GPY
   • Grisoft: BackDoor.Delf.BHF
   • Eset: Win32/Agent.ECD
   • Bitdefender: Worm.P2P.Agent.N

Sistemas Operativos:
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efeitos secundários:
   • Altera o registo do Windows
   • Possibilita acesso não autorizado ao computador

Ficheiros Autocopia-se para a seguinte localização:
• %SYSDIR%\NTSpool.exe

Registry (Registo do Windows) É adicionado o seguinte valor ao registo do Windows de forma a que o processo seja executado depois do computador ser reiniciado:

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\
   Run]
   • NTSpool = NTSpool.exe

Altera as seguintes chaves de registo do Windows:

– [HKLM\Software\Microsoft\RFC1156Agent\CurrentVersion\Parameters]
   Valor recente:
   • TrapPollTimeMilliSecs = dword:00003a98

– [HKLM\SOFTWARE\Licenses]
   Valor recente:
   • {K7C0DB872A3F777C0} = %valores hex%
   • {I29A5EA887C231048} = %valores hex%

IRC Para enviar informações do sistema e permitir controlo remoto liga-se ao servidor de IRC:

Servidor: **********.whyI.org
Porta: 2002
Palavra-chave do servidor: _f34kyfr1ce_
Canal #P2P3#
Nickname: [00|USA|%número% ]
Palavra-chave _f34kyfr1ce_

Introdução de código viral noutros processos – Introduz-se a si próprio num processo.

    Nome do processo:
   • svchost.exe

   Se concluir com êxito, o processo de malware termina enquanto a parte injetada permanece ativa.

Detalhes do ficheiro Linguagem de programação:
O programa de malware está escrito em Delphi.

Empacotador de Runtime:
De forma a agravar a detecção e reduzir o tamanho do ficheiro é lançado com um empacotador de runtime.

Veja aqui uma breve descrição.

Descrição adicionada por Andrei Gherman em Fri, 18 Apr 2008 11:31 (GMT+1)
Descrição adicionada por Andrei Gherman em Fri, 18 Apr 2008 12:10 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back