Полное описание

Имя:	TR/Dldr.iBill.D
Обнаружен:	23/01/2007
Вид:	Троянская программа
Подвид:	Downloader
В реальных условиях:	Да
Отмеченные факты заражения:	Средний
Потенциал распространения:	Низкий
Потенциал повреждений:	Средний
Файл статистики:	Да
Размер файла:	26.112 байт.
Контрольная сумма MD5:	3290cb5b8bba270B1cc95030edf1cdbe
Версия VDF:	6.37.00.188
Версия IVDF:	6.37.00.204 - вторник, 23 января 2007 г.
Эвристика:	HEUR/Malware

Общее Метод распространения:
   • Нет собственной процедуры распространения

Операционные системы:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Последствия:
   • Загружает файлы
   • Создает файл
   • Изменение реестра
   • Позволяет несанкционированно подключиться к компьютеру

После запуска выдается следующая информация:

Файлы Создается собственная копия:
• %SYSDIR%\ipcbt.exe

Создается файл:

– %SYSDIR%\drivers\onut.dat Файл может содержать адреса для загрузки дополнительных источников возможных угроз.

Реестр – [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • ipcbt = %SYSDIR%\ipcbt.exe

Изменяется следующий ключ реестра:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion]
   Новое значение:
   • zwq = dword:00000001

Email Программа не имеет собственной процедуры распространения. Распространяется с помощью электронной почты. Подробности приведены ниже:

Дизайн письма:
От: Gebuehreneinzugszentrale (GEZ) <onlinerechnung@gez.de>
Тема: Rechnung GEZ 22.2006
Текст письма:
   • Ihre detaillierte GEZ Rechnung von - 22.01.2007


     Rechnungsnummer %Число%
     Kundennummer %Число%
     Datum 22.12.2006


     Bei Rückfragen bitte Kundennummer angeben

     Sehr geehrter GEZ Kunde,

     die Gesamtsumme für Ihre Rechnung im Monat Dezember beträgt: 123,82 Euro.
     Anbei erhalten Sie den detaillierten Nutzungsnachweis im beigefügter ZIP Datei.
     Bitte beachten Sie, dass diese Rechnung einen Zuschlag beinhaltet, der durch das nicht rechtzeigige Anmelden des Internetverbindung entstanden ist.
     Die Unterlassung rechtzeitiger Einwände gilt als Genehmigung. Weitere Informationen zum Widerspruch finden ebenfalls im beigefügten Dokument.

     Sind Sie Unternehmer und benötigen unsere Rechnung zur Geltendmachung von Vorsteuerabzug? Bitte beachten Sie dann, dass Sie seit 29.12.2004 die Möglichkeit haben, Ihre Rechnung per E-Mail mit einer qualifizierten elektronischen Signatur zu erhalten. Sie konnen diese im Bereich "persönliche Einstellungen" aktivieren.
     Sollten Sie dem Finanzamt bisher eine von Ihnen zusätzlich beauftragte Rechnung in Papierform zum Vorsteuerabzug vorgelegt haben, bitten wir auserdem zu beachten, dass wir Ihnen diese nur noch in Form eines "Rechungsdoppels" bieten können, da nur so vermieden werden kann, dass GEZ mehrere Rechnungsoriginale ausstellt.

     Antworten auf Ihre weiteren Fragen zur digitalen Signatur finden Sie auch in unseren FAQs unter dem Stichwort "Digitale Signatur".
     ======================================
     GEZ AKTUELL
     Die Ministerprasidenten haben am 19. Oktober 2006 beschlossen, dass fur "Neuartige Rundfunkgerate" (Internet-PCs) ab Januar 2007 eine Gebuhr in Hohe von EUR 5,52 zu entrichten ist. Betroffen davon sind nur diejenigen, die bisher weniger als 2 Rundfunkgerate angemeldet haben.
     www.gez.de/aktuell
     ======================================

     Mit freundlichen Grussen
     Ihre GEZ Team
     i.A. Sandy Steinecke
     ---------------------------------------------------

     © Gebuhreneinzugszentrale 2007

     Aufsichtsrat:
     Handelsregister:
      Dr.Klaus Zumwinkel (Vorsitzender)
     Amtsgericht Koblenz HRB 12903, Sitz der Gesellschaft Bonn, USt.-IdNr. DE2158743015
Прикрепленный файл:
   • %Число%.zip

Письмо выглядит следующим образом:

Backdoor Устанавливает соединение с сервером
Все последующие:
   • http://gideonsarmy3.com/gideons_files/**********
   • http://floorsovertexas.com/images/**********
   • http://gilles-pouliot.com/images/**********
   • http://graceinthedesert.org/images/photo_page/**********
   • http://mazal18.com/temp/**********
   • http://gracesanders.com/images/**********
   • http://buckells.co.uk/heidi/**********
   • http://thecorsairs.co.uk/Pics/**********

После установления соединения вызывается дополнительный список серверов.
В результате обеспечиваются функции скрытого удаленного управления. Ответ сервера записывается в следующий файл: %SYSDIR%\drivers\onut.dat

Возможности удаленного контроля:
    • Загрузить файл

Данные файла Язык программирования:
Программа была написана на MS Visual C++.

Описание добавил Andrei Gherman в(о) вторник, 23 января 2007 г.
Описание обновил Robert Harja Iliescu в(о) понедельник, 12 февраля 2007 г.

Назад . . . .