TR/Agent.AAL - Trojan

In alte limbi

Scurta descriere

Descriere completa

Statistici

Nume:	TR/Agent.AAL
Descoperit pe data de:	22/09/2006
Tip:	Troian
ITW:	Nu
Numar infectii raportate:	Scazut
Potential de raspandire:	Scazut
Potential de distrugere:	Scazut spre mediu
Fisier static:	Da
Marime:	69.632 Bytes
MD5:	4ed6f7364206b0ae28e1cc439102ce5b
Versiune VDF:	6.36.00.49
Versiune IVDF:	6.36.00.60

General Metoda de raspandire:
   • Nu are rutina proprie de raspandire

Alias:
   • Mcafee: Kimat

Sistem de operare:
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efecte secundare:
   • Creeaza un fisier
   • Creeaza fisiere malware
   • Modificari in registri

Imediat dupa lansarea in executie, pe ecran este afisat:

Dupa activare, ruleaza un program Windows care afiseaza urmatoarea fereastra:

Fisiere Se copiaza in urmatoarele locatii:
   • %SYSDIR%\ISASS.exe
   • %WINDIR%\Resources\Empty.bat
   • %WINDIR%\Media\msconfig.bat
   • %WINDIR%\security\kernel32.bat
   • %WINDIR%\system32.exe
   • %ALLUSERSPROFILE%\Start Menu\Programs\Startup\Temp.pif
   • %SYSDIR%\LNETINFO.exe
   • %home%\My Documents\Data %numele computerului%.exe
   • %SYSDIR%\Kiamat.exe
   • %home%\My Documents\%toate subdirectoarele%\%directorul curent%.exe

Este creat fisierul:

– %WINDIR%\security\ms.inf

Registrii sistemului Urmatoarele chei sunt adaugate in registri pentru a rula procesul la repornirea sistemului:

– HKCU\Software\Microsoft\Windows\CurrentVersion\Run
   • "msconfig"="%WINDIR%\Media\msconfig.bat"

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • "Kiamat Sudah Dekat_16_04"="%SYSDIR%\ISASS.exe"

Se adauga in registrii sistemului:

– HKCU\Software\Policies\Microsoft\CurrentVersion\Policies\Explorer
   • "NoFind"=dword:00000001

Urmatoarele chei din registri sunt modificate:

Dezactivarea programelor Regedit si Task Manager:
– HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System
   Noua valoare:
   • "DisableRegistryTools"=dword:00000001
   • "DisableTaskMgr"=dword:00000001

– HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
   Vechea valoare:
   • "Hidden"=%setarile utilizatorului%
   • "HideFileExt"=%setarile utilizatorului%
   Noua valoare:
   • "Hidden"=dword:00000002
   • "HideFileExt"=dword:00000001

– HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
   Vechea valoare:
   • "Shell"="Explorer.exe"
   Noua valoare:
   • "Shell"="Explorer.exe "%WINDIR%\Resources\Empty.bat""

– HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System
   Noua valoare:
   • "DisableCMD"=dword:00000001

Detaliile fisierului Limbaj de programare:
Limbaj de programare folosit: Visual Basic.

Pentru o descriere scurta click aici.

Descriere introdusa de Teodor Onisor la Tue, 24 Oct 2006 15:43 (GMT+1)
Descriere actualizata de Oliver Auerbach la Wed, 25 Oct 2006 10:16 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back