TR/Agent.249856.B - Trojan

In alte limbi

Scurta descriere

Descriere completa

Statistici

Nume:	TR/Agent.249856.B
Descoperit pe data de:	26/03/2008
Tip:	Troian
ITW:	Da
Numar infectii raportate:	Scazut
Potential de raspandire:	Mediu
Potential de distrugere:	Mediu
Fisier static:	Nu
Marime:	~200.000 Bytes
Versiune VDF:	7.00.03.69
Versiune IVDF:	7.00.03.74

General Metoda de raspandire:
   • Email

Alias:
   • Kaspersky: Trojan.Win32.Agent.gjp
   • F-Secure: Trojan.Win32.Agent.gjp
   • Bitdefender: Backdoor.Oderoor.BM

Sistem de operare:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efecte secundare:
   • Utilizeaza propriul motor de email
   • Modificari in registri
   • Posibilitatea accesului neautorizat la computer

Fisiere Se copiaza in urmatoarea locatie:
• %SYSDIR%\%combinatie de caractere aleatoare%.exe

Registrii sistemului Una din urmatoarele valori este adaugata in registri pentru pornirea automata a procesului dupa reboot:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • %combinatie de caractere aleatoare% ="%SYSDIR%\%combinatie de caractere aleatoare%.exe"

Urmatoarele chei sunt adaugate in registri pentru a incarca serviciul la repornirea sistemului:

– [HKLM\SYSTEM\CurrentControlSet\Services\
   %combinatie de caractere aleatoare% ]
   • "Type"=dword:00000010
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000000
   • "ImagePath"="%SYSDIR%\%combinatie de caractere aleatoare%.exe /service"
   • "DisplayName"="Print Spooler Service"
   • "ObjectName"="LocalSystem"

Se adauga in registrii sistemului:

– [HKLM\SYSTEM\CurrentControlSet\Services\
   %combinatie de caractere aleatoare%\Security]
   • "Security"=%valori hex%

Email Contine un motor SMTP integrat, pentru a trimite spam prin email. Astfel se va conecta direct la serverul destinatar. Caracteristicile sunt:

De la:
Adrese obţinute de pe Internet. Vă rugăm nu presupuneţi că a fost intenţia expeditorului să vă trimită acest email. Este posibil ca el să nu ştie că este infectat sau chiar să nu aibă sistemul infectat. În plus, este posibil să primiţi email-uri returnate care să vă indice că sunteţi infectat, lucru care poate fi de asemenea fals.

Catre:
– Adrese obţinute de pe Internet.

Backdoor Deschide portul

– %combinatie de caractere aleatoare%.exe pe portul TCP 49500

Servere contactate:

• **********:447

Injectarea codului malware in alte procese – Se injecteaza ca un thread remote intr-un proces.

Numele procesului:
• winlogon.exe

Alte informatii Mutex:
Creeaza urmatorul mutex:
• 2819717815

Detaliile fisierului Compresia fisierului:
Pentru a ingreuna detectia si a reduce marimea fisierului, este folosit un program de compresie runtime.

Pentru o descriere scurta click aici.

Descriere introdusa de Ernest Szocs la Tue, 01 Apr 2008 10:56 (GMT+1)
Descriere actualizata de Ernest Szocs la Tue, 01 Apr 2008 12:22 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back