TR/Spy.Banker.BAY - Trojan

это описание доступно в

Резюме

Подробное описание

Статистика

Имя:	TR/Spy.Banker.BAY
Обнаружен:	02/10/2006
Вид:	Троянская программа
В реальных условиях:	Нет
Отмеченные факты заражения:	Низкий
Потенциал распространения:	Низкий
Потенциал повреждений:	Средний
Файл статистики:	Да
Размер файла:	294.792 байт.
Контрольная сумма MD5:	48913bbd9f747a27e747685c445fc84e
Версия VDF:	6.36.00.71
Версия IVDF:	6.36.00.86

Общее Метод распространения:
   • Нет собственной процедуры распространения

Псевдонимы (аliases):
   • Kaspersky: Trojan-Spy.Win32.Banker.cbk
   • F-Secure: Trojan-Spy.Win32.Banker.cbk
   • Grisoft: PSW.Banker
   • Eset: Win32/Spy.Banker.AHY

Операционные системы:
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Последствия:
   • Изменение реестра
   • Похищает информацию

Файлы Создаются собственные копии:
• %ALLUSERSPROFILE%\start menu\programs\startup\Windows Update.exe
• %SYSDIR%\Windows Update.exe

Реестр Добавляется ключ реестра для повторного запуска процесса после перезагрузки системы.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
• "Winconfig"="%SYSDIR%\Windows Update.exe"

Email Не имеет собственной процедуры размножения. Занимается рассылкой электронных писем. Адресат может оказаться отправителем. Подробности приведены ниже:

От:
Адрес отправителя был фальсифицирован.
Список возможных отправителей письма:
   • ATIVADO! %Имя компьютера%
   • $$$$ CEF

Кому:
Получателями письма являются:
   • newfamilyxxxx1@gmail.com
   • infossss@gmail.com

Дизайн писем:
От: ATIVADO! %Имя компьютера%
Кому: newfamilyxxxx1@gmail.com
От: $$$$ CEF
Кому: newfamilyxxxx1@gmail.com
Тема: CHEGOU UMA INFO CEF
Текст письма:
   • [+] Tipo...........: %похищенная информация%
     [+] Agência........: %похищенная информация%
     [+] Conta..........: %похищенная информация%
     [+] Senha NET......: %похищенная информация%
     [+] Ass. Eletrônica: %похищенная информация%

Письмо выглядит следующим образом:

Отправка MX Server:
Обладает способностью связаться со следующим MX сервером:
• gsmtp185.google.com

Кража Попытка кражи следующей информации:

– После посещения следующей веб-страницы была запущена функция протоколирования:
• https://internetcaixa.caixa.gov.br/NASApp/SIIBC/saldo.processa

– Протоколируется:
• Регистрационная информация

–Формы отображаются следующим образом:

Разное Мьютекс:
Создается мьютекс:
• DsKmSk MuTexXx

Данные файла Язык программирования:
Программа была написана на Delphi.

Паковщик:
Для осложнения определения и сокращения размера файла он был запакован следующим паковщиком:
• PEtite

Краткое описание см. здесь.

Описание добавлено: Adriana Popa Mon, 09 Oct 2006 10:48 (GMT+1)
Описание обновлено: Adriana Popa Mon, 09 Oct 2006 16:02 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back