TR/Spy.BZub.DG.1 - Trojan

это описание доступно в

Резюме

Подробное описание

Статистика

Имя:	TR/Spy.BZub.DG.1
Обнаружен:	06/09/2006
Вид:	Троянская программа
В реальных условиях:	Нет
Отмеченные факты заражения:	Низкий
Потенциал распространения:	Низкий
Потенциал повреждений:	Средний
Файл статистики:	Да
Размер файла:	86.232 байт.
Контрольная сумма MD5:	d9293079adae74d999bd6efbb2151e62
Версия VDF:	6.35.01.190
Версия IVDF:	6.35.01.194

Общее Метод распространения:
   • Нет собственной процедуры распространения

Псевдонимы (аliases):
   • Mcafee: Spy-Agent.ak
   • Kaspersky: Trojan-Spy.Win32.BZub.dg
   • TrendMicro: TSPY_BZUB.DG
   • F-Secure: Trojan-Spy.Win32.BZub.dg
   • Eset: Win32/Spy.BZub.DG

Операционные системы:
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Последствия:
   • Создает потенциально опасный файл
   • Снижает уровень настроек безопасности
   • Отслеживается и записывает введенные с клавиатуры символы
   • Изменение реестра
   • Похищает информацию

Файлы Создаются следующие файлы:

– %SYSDIR%\form.txt Файл является безвредным текстовым файлом со следующим содержимым:
• %похищенная информация%

– %SYSDIR%\ipv6mons.dll Дальнейшие исследования выявили, что данный файл является вредоносной программой. Определен как: TR/Spy.BZub.DG.2

Реестр Удаляются значения следующего ключа реестра:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Control Panel\load]
   • "h"
   • "wspopp"
   • "forwas"
   • "nw"

С добавлением следующих ключей регистрируются BHO (browser helper object):

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
   Browser Helper Objects\{73364D99-1240-4dff-B11A-67E448373048}]
– [HKCR\CLSID\{73364D99-1240-4dff-B11A-67E448373048}]
– [HKCR\CLSID\{73364D99-1240-4dff-B11A-67E448373048}\InprocServer32]
   • @="%SYSDIR%\ipv6mons.dll"
   • "ThreadingModel"="apartment"
   • "Enable Browser Extensions"="yes"

Создание следующего элемента для "обхода" брандмауера Windows XP:

– [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\
   FirewallPolicy\StandardProfile\AuthorizedApplications\List]
   • "%PROGRAM FILES%\Internet Explorer\IEXPLORE.EXE"="%PROGRAM
      FILES%\Internet Explorer\IEXPLORE.EXE:*:Enabled:Internet Explorer"

Добавляется следующий ключ реестра:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Control Panel\load]
   • "net_insll"=%случайная комбинация букв из восьми букв%
   • "worg"=%шестнадцатиричное значение%
   • "cmpid"=%шестнадцатиричное значение%

Backdoor Устанавливает соединение с сервером
Следующий:
   • http://81.95.147.138/sqlstat/**********

В результате может пересылаться информация.

Передает информацию о:
    • Имя компьютера
    • IP адрес
    • Полученная из похищенного блока информация
    • Системное время
    • Информация об операционной системе Windows

Кража Попытка кражи следующей информации:
– Windows Produkt ID
– Введенные в поле пароля символы
– Информация об учетной записи электронной почты из реестра: HKCU\Software\Microsoft\Internet Account Manager\Accounts

– После посещения следующей веб-страницы была запущена функция протоколирования:
• %каждая ве
Краткое описание см. здесь.

Описание добавлено: Adriana Popa Tue, 03 Oct 2006 10:36 (GMT+1)
Описание обновлено: Adriana Popa Tue, 03 Oct 2006 15:10 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back