Полное описание

Имя:	TR/Onlinegames.B
Обнаружен:	19/05/2008
Вид:	Троянская программа
В реальных условиях:	Да
Отмеченные факты заражения:	Низкий
Потенциал распространения:	От низкого до среднего
Потенциал повреждений:	Средний
Файл статистики:	Нет
Размер файла:	~100.000 байт.
Версия IVDF:	7.00.04.63 - вторник, 20 мая 2008 г.

Общее Метод распространения:
   • Подключенные сетевые диски

Псевдонимы (аliases):
   • Mcafee: PWS-LegMir.gen.k
   • Kaspersky: Trojan-PSW.Win32.OnLineGames.ngm
   • F-Secure: Trojan-PSW.Win32.OnLineGames.ngm
   • Grisoft: Worm/AutoRun.Y
   • Eset: Win32/PSW.OnLineGames.NLI
   • Bitdefender: Trojan.PWS.OnlineGames.WME

Похожее обнаружение:
   • TR/Onlinegames.B.%Число%

Операционные системы:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Последствия:
   • Создает вредоносные файлы
   • Изменение реестра
   • Похищает информацию

Файлы Создается собственная копия:
   • %SYSDIR%\amvo.exe

Создает собственную копию с именем файла из списка
– Кому: %Диск%\ С одним из следующих имен:
   • %случайная буквенная комбинация%.exe
   • %случайная буквенная комбинация%.bat
   • %случайная буквенная комбинация%.cmd
   • %случайная буквенная комбинация%.com

Создаются следующие файлы:

– Файлы предназначены для временного использования и могут быть удалены.
   • %TEMPDIR%\%случайная буквенная комбинация%.sys
   • %TEMPDIR%\%случайная буквенная комбинация%.dll

– %Диск%\autorun.inf Файл является безвредным текстовым файлом со следующим содержимым:
   • %код, исполняющий вредоносную программу%

– %TEMPDIR%\%случайная буквенная комбинация%.sys Дальнейшие исследования выявили, что данный файл является вредоносной программой. Определен как: RKIT/Vanti

– %TEMPDIR%\%случайная буквенная комбинация%.dll Дальнейшие исследования выявили, что данный файл является вредоносной программой. Определен как: TR/Crypt.NSPM.Gen

– %SYSDIR%\amvo0.dll Дальнейшие исследования выявили, что данный файл является вредоносной программой. Определен как: TR/Crypt.NSPM.Gen

Реестр Добавляется ключ реестра для повторного запуска процесса после перезагрузки системы.

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • amva = %SYSDIR%\amvo.exe

Изменяются следующие ключи реестра:

Различные настройки Explorer:
– [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
   Прежнее значение:
   • Hidden = %Настройки пользователя%
   • ShowSuperHidden = %Настройки пользователя%
   Новое значение:
   • Hidden = 2
   • ShowSuperHidden = 0

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\
   Folder\Hidden\SHOWALL]
   Прежнее значение:
   • CheckedValue = %Настройки пользователя%
   Новое значение:
   • CheckedValue = 0

Кража Попытка кражи следующей информации:

– Пароли следующих программ:
• Maple Story
• Lineage

Инфицирование – Следующий файл вставляется в процесс: %SYSDIR%\amvo0.dll

    Имя процесса:
   • explorer.exe

   При успешном выполнении вредоносная программа завершается. Инфицированная часть остается при этом активной.

Данные файла Паковщик:
Для осложнения определения и сокращения размера файла он был запакован следующим паковщиком:

Описание добавил Andrei Gherman в(о) пятница, 13 июня 2008 г.
Описание обновил Andrei Gherman в(о) пятница, 13 июня 2008 г.

Назад . . . .