TR/Repor.A - Trojan

это описание доступно в

Резюме

Подробное описание

Статистика

Имя:	TR/Repor.A
Обнаружен:	01/04/2005
Вид:	Троянская программа
В реальных условиях:	Нет
Отмеченные факты заражения:	Низкий
Потенциал распространения:	Низкий
Потенциал повреждений:	Средний
Файл статистики:	Да
Размер файла:	29.582 байт.
Контрольная сумма MD5:	10ef4838aa0496d818d82a8b12fa6425
Версия VDF:	6.30.00.60

Общее Метод распространения:
   • Нет собственной процедуры распространения

Псевдонимы (аliases):
   • Mcafee: Keylog-SClog
   • Kaspersky: Trojan-Spy.Win32.SCKeyLog.o
   • Grisoft: PSW.Sclog.D
   • VirusBuster: Trojan.Gogel.A
   • Bitdefender: Win32.Repor.A

Операционные системы:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Последствия:
   • Создает файлы
   • Использует собственный почтовый движок
   • Отслеживается и записывает введенные с клавиатуры символы
   • Изменение реестра
   • Похищает информацию

После запуска выдается следующая информация:

Файлы Создается собственная копия:
   • %SYSDIR%\csrs.exe

Создается файл:

– %TEMPDIR%\ief%случайная буквенная комбинация%.tmp Файл является безвредным текстовым файлом со следующим содержимым:
   • %посещенные URL%

– %TEMPDIR%\67-41 Файл является безвредным текстовым файлом со следующим содержимым:
   • %Имя компьютера%
     %актуальная дата%
     %актуальное время (часы)%
     %текущий IP адрес%
     %актуальное имя пользователя%
     %все активные процессы%
     %похищенная информация%

– %SYSDIR%\srsc.dat Файл содержит информацию о системе.
– %SYSDIR%\srsc.le Файл содержит информацию о системе.

Реестр Добавляется ключ реестра для повторного запуска процесса после перезагрузки системы.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "csrs"="%SYSDIR%\csrs.exe"

Добавляется следующий ключ реестра:

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\
   csrs]
   • "DllName"="csrs.dll"
   • "Asynchronous"=dword:00000000
   • "Impersonate"=dword:00000000
   • "Lock"="WLELock"
   • "Logoff"="WLELogoff"
   • "Logon"="WLELogon"
   • "Shutdown"="WLEShutdown"
   • "StartScreenSaver"="WLEStartScreenSaver"
   • "Startup"="WLEStartup"
   • "StopScreenSaver"="WLEStopScreenSaver"
   • "Unlock"="WLEUnlock"

Email Не имеет собственной процедуры размножения. Занимается рассылкой электронных писем. Адресат может оказаться отправителем. Подробности приведены ниже:

Дизайн письма:
От: tibianhackr28@yahoo.com
Кому: tibianhackr28@yahoo.com
Тема: Log report of computer %Имя компьютера% (%актуальное имя пользователя%)
Текст письма:
   • SC-KeyLog log report

     See attached file(s)...
Прикрепленные файлы:
   • IE_Favorites.html(%TEMPDIR%\ief%случайная буквенная комбинация%.tmp)
   • LogFile.log(%TEMPDIR%\67-41)

Письмо могло бы выглядеть следующим образом:

Кража Попытка кражи следующей информации:

– Протоколируется:
• Нажатие клавиш
• Информация об окне

Данные файла Язык программирования:
Программа была написана на MS Visual C++.

Краткое описание см. здесь.

Описание добавлено: Iulia Diaconescu Fri, 17 Mar 2006 16:38 (GMT+1)
Описание обновлено: Andrei Gherman Tue, 21 Mar 2006 12:39 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back