TR/Spy.Bancos.YT.2 - Trojan

In alte limbi

Scurta descriere

Descriere completa

Statistici

Nume:	TR/Spy.Bancos.YT.2
Descoperit pe data de:	22/09/2006
Tip:	Troian
ITW:	Nu
Numar infectii raportate:	Scazut
Potential de raspandire:	Scazut
Potential de distrugere:	Mediu
Fisier static:	Da
Marime:	179.200 Bytes
MD5:	17b0f4c1e448749988a91d9d912c827c
Versiune VDF:	6.36.00.52
Versiune IVDF:	6.36.00.63

General Metoda de raspandire:
   • Nu are rutina proprie de raspandire

Alias:
   • Kaspersky: Trojan-Spy.Win32.Bancos.yt
   • F-Secure: Trojan-Spy.Win32.Bancos.yt
   • Sophos: Troj/Bancos-AW
   • Eset: Win32/Spy.Bancos.U

Sistem de operare:
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efecte secundare:
   • Utilizeaza propriul motor de email
   • Modificari in registri
   • Sustrage informatii

Imediat dupa lansarea in executie, pe ecran este afisat:

Fisiere Se copiaza in urmatoarea locatie:
• %SYSDIR%\nspackk.exe

Este creat fisierul:

– %WINDIR%\winhlp32.dat Acesta este un fisier curat, care contine informatii despre programul in sine.

Registrii sistemului Urmatoarea cheie este adaugata in registri pentru a rula procesul la repornirea sistemului:

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • "NSpackk"=""%SYSDIR%\nSpackk.exe""

Urmatoarea cheie din registri este modificata:

– HKLM\SOFTWARE\INTEL\LANDesk\VirusProtect6\CurrentVersion\Storages\
   InternetMail\RealTimeScan
   Noua valoare:
   • "OnOff"=dword:00000000

Email Nu are rutina proprie de raspandire, dar poate trimite email-uri. Cel mai probabil, destinatarul este autorul virusului. Iata caracteristicile lui:

Formatul email-ului:
De la: passageiro2006a@yahoo.es
Catre: caxopa2@yahoo.com.hk
Subiect: Retorno!!%data curenta% %ora curenta%
Corp mesaj:
   • %dependent de sistem%
     Msg da versão.: 5.0.0 OR - 1-Sem arquivo

     .

Email Server MX:
Nu foloseste serverul MX implicit.
Se poate conecta la serverul MX:
• smtp.correo.yahoo.es

Furt de informatii Incearca sa obtina urmatoarele informatii:

– Este pornita o rutina de logare dupa ce viziteaza un site care contine unul din urmatoarele siruri de caractere in URL:
   • www2.bancobrasil.com.br
   • https://www2.bancobrasil.com.br/aapf/saldos/006.jsp?codT=0
   • https://www2.bancosbrasil.com.br/aapff/aaii/principal
   • internetcaixa.caixa.gov.br
   • \BancoBrasil\officeIE\index.html
   • https://bankline.itau.com.br/GRIPNET/gracgi.exe
   • bankline.itau.com.br

– Face captura la:
    • Informatii de logare

Detaliile fisierului Limbaj de programare:
Limbaj de programare folosit: Visual Basic.

Compresia fisierului:
Pentru a ingreuna detectia si a reduce marimea fisierului, este folosit urmatorul program de arhivare:
• PECompact

Pentru o descriere scurta click aici.

Descriere introdusa de Teodor Onisor la Thu, 05 Oct 2006 12:03 (GMT+1)
Descriere actualizata de Teodor Onisor la Thu, 05 Oct 2006 14:05 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back