TR/VB.aez.7 - Trojan

In alte limbi

Scurta descriere

Descriere completa

Statistici

Nume:	TR/VB.aez.7
Descoperit pe data de:	29/12/2005
Tip:	Troian
ITW:	Nu
Numar infectii raportate:	Scazut
Potential de raspandire:	Scazut
Potential de distrugere:	Scazut spre mediu
Fisier static:	Da
Marime:	27.648 Bytes
MD5:	7d70255f56097a4c7af64aa42d023462
Versiune VDF:	6.33.00.81

General Metoda de raspandire:
   • Nu are rutina proprie de raspandire

Alias:
   • Kaspersky: Trojan.Win32.VB.aez

Sistem de operare:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP

Efecte secundare:
   • Inchide aplicatiile de securitate
   • Descarca un fisier malware
   • Creeaza fisiere
   • Reduce setarile de securitate
   • Modificari in registri

Fisiere Sterge copia initiala a virusului.

Sunt create fisierele:

– Un fisier temporar care poate fi sters dupa aceea:
• %WINDIR%\disable.reg

– %directorul de activare malware%\%executed file name%.bat Fisierul este executat dupa ce a fost creat. Fisierul batch este folosit pentru stergerea unui fisier.

Incearca sa descarce un fisier:

– Adresa este urmatoarea:
• http://www.biobondy.com/source/bin/**********
Fisierul este stocat pe hard disc la: %SYSDIR%\ieschedule.exe In plus, acest fisier este executat dupa ce este descarcat de pe Internet. Analiza ulterioara a relevat ca si acest fisier este malware. Detectat ca: BDS/VB.agz

Registrii sistemului Se adauga in registrii sistemului:

– [HKLM\SYSTEM\CurrentControlSet\Control\InitRegKey]
   • "initMod" = "2"

Urmatoarele chei din registri sunt modificate:

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\
   Cache\Content]
   Vechea valoare:
   • "CacheLimit"=%setarile utilizatorului%
   Noua valoare:
   • "CacheLimit"=dword:00000400

Dezactiveaza Windows XP Firewall:
– [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\
   FirewallPolicy\StandardProfile]
   Vechea valoare:
   • "DisableNotifications"=%setarile utilizatorului%
   • "DoNotAllowExceptions"=%setarile utilizatorului%
   • "EnableFirewall"=%setarile utilizatorului%
   Noua valoare:
   • "DisableNotifications"=dword:00000001
   • "DoNotAllowExceptions"=dword:00000000
   • "EnableFirewall"=dword:00000000

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\
   Auto Update]
   Vechea valoare:
   • "AUOptions"=%setarile utilizatorului%
   • "DetectionStartTime"=%setarile utilizatorului%
   • "ConfigVer"=%setarile utilizatorului%
   • "ResetAU"=%setarile utilizatorului%
   • "ScheduledInstallDay"=%setarile utilizatorului%
   • "ScheduledInstallTime"=%setarile utilizatorului%
   Noua valoare:
   • "AUOptions"=dword:00000001
   • "DetectionStartTime"="2004.09.20 19:59:26"
   • "ConfigVer"=dword:00000001"
   • "ResetAU"=dword:00000001
   • "ScheduledInstallDay"=dword:00000000
   • "ScheduledInstallTime"=dword:00000003

Terminarea proceselor Lista cu serviciile dezactivate:
• Windows Security Center
• Windows Firewall

Alte informatii Conexiune internet:

Formuleaza cereri pentru urmatoarele nume:
• www.microsoft.com
• www.biobondy.com

Detaliile fisierului Limbaj de programare:
Limbaj de programare folosit: Visual Basic.

Compresia fisierului:
Pentru a ingreuna detectia si a reduce marimea fisierului, este folosit urmatorul program de arhivare:
• UPX

Pentru o descriere scurta click aici.

Descriere introdusa de Daniel Constantin la Wed, 04 Jan 2006 15:47 (GMT+1)
Descriere actualizata de Andrei Gherman la Mon, 30 Jan 2006 13:21 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back