Полное описание

Имя:	TR/Spy.ZBot.dkx
Обнаружен:	25/07/2008
Вид:	Троянская программа
Подвид:	Spy
В реальных условиях:	Да
Отмеченные факты заражения:	От низкого до среднего
Потенциал распространения:	Низкий
Потенциал повреждений:	Средний
Файл статистики:	Да
Размер файла:	56.320 байт.
Контрольная сумма MD5:	dd2bddde963c8f6d5a9f0C0De6d4457b
Версия IVDF:	7.00.05.168 - пятница, 25 июля 2008 г.

Общее Метод распространения:
   • Нет собственной процедуры распространения

Псевдонимы (аliases):
   • Symantec: Backdoor.Paproxy
   • Mcafee: Spy-Agent.bw trojan
   • Kaspersky: Trojan-Spy.Win32.Zbot.dkx
   • F-Secure: Trojan-Spy.Win32.Zbot.dkx
   • Sophos: Mal/Spy-A
   • VirusBuster: TrojanSpy.Zbot.RC
   • Eset: Win32/Spy.Agent.NHU
   • Bitdefender: Trojan.Spy.Wsnpoem.EK

Операционные системы:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Последствия:
   • Загружает вредоносного файл
   • Изменение реестра
   • Похищает информацию
   • Позволяет несанкционированно подключиться к компьютеру

Файлы Создается собственная копия:
   • %SYSDIR%\ntos.exe

Создаются следующие файлы:

– Файлы предназначены для временного использования и могут быть удалены.
   • %SYSDIR%\wnspoem\video.dll
   • %SYSDIR%\wnspoem\audio.dll

Попытка загрузки следующего файла:

– Следующий URL:
   • http://alparslanovayurt.com/**********ldr.exe
Сохраняется локально в: %TEMPDIR%\4.tmp Данный файл запускается на выполнение после его полной загрузки. Дальнейшие исследования выявили, что данный файл является вредоносной программой. Определен как: TR/Dldr.Agent.xft

Реестр Изменяется следующий ключ реестра:

– [HKLM\software\microsoft\windows nt\currentversion\winlogon]
   Прежнее значение:
   • "userinit"="%SYSDIR%\userinit.exe,"
   Новое значение:
   • "userinit"="%SYSDIR%\userinit.exe,%SYSDIR%\ntos.exe,"

Email Программа не имеет собственной процедуры распространения. Распространяется с помощью электронной почты. Подробности приведены ниже:

От:
Адрес отправителя был фальсифицирован.

Тема:
Следующее:
   • Parcel requires declaration

Тело:
Тело письма имеет следующий вид:

   • Good day,

     We have received a parcel for you, sent from France on July 9. Please fill out the customs declaration attached to this message and send it to us by mail or fax. The address and the fax number are at the bottom of the declaration form.

     Kind regards,
     Lucinda Addison
     Your Customs Service

Прикрепленный файл:
Следующее имя прикрепленного файла:
   • Bill_Tax.zip

Прикрепленный архивный файл содержит копию потенциально опасной программы.

Backdoor Открывается порт:

– svchost.exe к произвольному TCP порту

Устанавливает соединение с сервером
Следующий:
• http://baltikaredison.ru/**********alaska.bin

В результате может быть обеспечена пересылка информации и работа функции скрытого удаленного управления.

Инфицирование – Следующий файл вставляется в процесс: %SYSDIR%\ntos.exe

Имя процесса:
• winlogon.exe

Данные файла Паковщик:
Для осложнения определения и сокращения размера файла он был запакован следующим паковщиком:

Описание добавил Thomas Wegele в(о) пятница, 25 июля 2008 г.
Описание обновил Thomas Wegele в(о) пятница, 25 июля 2008 г.

Назад . . . .