ADSPY/Look2Me.AB.67 - Adware / Spyware

In alte limbi

Scurta descriere

Descriere completa

Statistici

Nume:	ADSPY/Look2Me.AB.67
Descoperit pe data de:	10/10/2005
Tip:	Troian
Subtip:	Adware
ITW:	Nu
Numar infectii raportate:	Scazut
Potential de raspandire:	Scazut
Potential de distrugere:	Scazut spre mediu
Fisier static:	Da
Marime:	578.560 Bytes
MD5:	242a20bae9cf9cb816a447150378c02d
Versiune VDF:	6.32.00.72

General Metoda de raspandire:
   • Nu are rutina proprie de raspandire

Alias:
   • Kaspersky: not-a-virus:AdWare.Win32.Look2Me.ab
   • VirusBuster: trojan Adware.Look2Me.P
   • Bitdefender: Trojan.Canbede.L

Sistem de operare:
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efecte secundare:
   • Blocheaza accesul la anumite website-uri
   • Descarca fisiere
   • Creeaza fisiere malware
   • Modificari in registri
   • Sustrage informatii

Fisiere Sunt create fisierele:

– %SYSDIR%\%combinatie de caractere aleatoare%.dll Fisierul este executat dupa ce a fost creat. Analiza ulterioara a relevat ca si acest fisier este malware. Detectat ca: ADSPY/Look2Me.AB.76

– %SYSDIR%\%combinatie de caractere aleatoare%.dll Fisierul este executat dupa ce a fost creat. Analiza ulterioara a relevat ca si acest fisier este malware. Detectat ca: ADSPY/Look2Me.AB.76

– %SYSDIR%\guard.tmp Detectat ca: ADSPY/Look2Me.AB.76

Registrii sistemului Urmatoarele chei sunt adaugate in registri pentru a rula procesul la repornirea sistemului:

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\
   %cuvinte aleatoare%]
   • "Shutdown" = "WinShutdown"
   • "Logoff" = "WinLogoff"
   • "Logon" = "WinLogon"
   • "Impersonate" = dword:00000000
   • "DllName" = "%sysdir%\%dll malware%"
   • "Asynchronous" = dword:00000000

– [HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\
   Approved]
   • "%CLSID generate%" = ""

– [HKCR\CLSID\%CLSID generate%]
   • "IDEx" = "ADDR"
   • "@" = ""

– [HKCR\CLSID\%CLSID generate%\Implemented Categories]
   • "@" = ""

– [HKCR\CLSID\%CLSID generate%\Implemented Categories\
   {00021492-0000-0000-C000-000000000046}]
   • "@" = ""

– [HKCR\CLSID\%CLSID generate%\InprocServer32]
   • "ThreadingModel" = "Apartment"
   • "@" = "%sysdir%\%dll malware%"

Urmatoarea cheie din registri este modificata:

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Streams\
   Desktop]
   Vechea valoare:
   • "Taskbar" = %setarile utilizatorului%
   Noua valoare:
   • "Taskbar" = %valori hex%

Fisiere host Uneori se poate intampla ca fisierul

– In acest caz inregistrarile existente raman nemodificate.

– Accesul la urmatorul domeniu este blocat:
• %descarcat de pe internet%

Backdoor Servere contactate:
Unul dintre:
   • www.ad-w-a-r-e.com/AD/**********
   • www.a-d-w-a-r-e.com/AD/**********

Astfel se pot transmite informatii si se poate obtine control la distanta. Aceasta se face printr-o interogare HTTP GET intr-un script PHP.

Trimte informatii despre:
    • Statusul actual al malware-ului

Posibilitati de control la distanta:
    • descarcare fisier
    • editare registru sistem
    • Vizitarea unui website

Detaliile fisierului Limbaj de programare:
Limbaj de programare folosit: C (compilat cu Microsoft Visual C++).

Compresia fisierului:
Pentru a ingreuna detectia si a reduce marimea fisierului, este folosit un program de compresie runtime.

Pentru o descriere scurta click aici.

Descriere introdusa de Daniel Constantin la Fri, 03 Mar 2006 12:14 (GMT+1)
Descriere actualizata de Daniel Constantin la Fri, 03 Mar 2006 16:43 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back