TR/PSW.Maran.B.2 - Trojan

это описание доступно в

Резюме

Подробное описание

Статистика

Имя:	TR/PSW.Maran.B.2
Обнаружен:	14/09/2006
Вид:	Троянская программа
В реальных условиях:	Нет
Отмеченные факты заражения:	Низкий
Потенциал распространения:	Низкий
Потенциал повреждений:	От низкого до среднего
Файл статистики:	Да
Размер файла:	45.376 байт.
Контрольная сумма MD5:	8d0A7f99f9fafbe2f0bee1e54177e7f5
Версия VDF:	6.35.01.115
Версия IVDF:	6.35.01.116

Общее Метод распространения:
   • Нет собственной процедуры распространения

Псевдонимы (аliases):
   • F-Secure: Trojan-PSW.Win32.Maran.f
   • Bitdefender: Trojan.PWS.Maran.B

Операционные системы:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Последствия:
   • Создает файлы
   • Создает потенциально опасный файл
   • Изменение реестра

Файлы Выполненная копия программы удаляется.

Создаются следующие файлы:

– %SYSDIR%\mssbupx.dll Дальнейшие исследования выявили, что данный файл является вредоносной программой. Определен как: TR/PSW.Maran.F

– %SYSDIR%\sporder.dll
– %SYSDIR%\delmeml.bat Данный batch-файл используется для удаления файла.

Реестр Добавляются следующие ключи реестра:

– [HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9\Catalog_Entries\000000000001]
   • "PackedCatalogItem"=%шестнадцатиричное значение%

– [HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9\Catalog_Entries\000000000002]
   • "PackedCatalogItem"=%шестнадцатиричное значение%

– [HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9\Catalog_Entries\000000000003]
   • "PackedCatalogItem"=%шестнадцатиричное значение%

– [HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9\Catalog_Entries\000000000004]
   • "PackedCatalogItem"=%шестнадцатиричное значение%

– [HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9\Catalog_Entries\000000000005]
   • "PackedCatalogItem"=%шестнадцатиричное значение%

– [HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9\Catalog_Entries\000000000006]
   • "PackedCatalogItem"=%шестнадцатиричное значение%

– [HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9\Catalog_Entries\000000000007]
   • "PackedCatalogItem"=%шестнадцатиричное значение%

– [HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9\Catalog_Entries\000000000008]
   • "PackedCatalogItem"=%шестнадцатиричное значение%

– [HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9\Catalog_Entries\000000000009]
   • "PackedCatalogItem"=%шестнадцатиричное значение%

– [HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9\Catalog_Entries\000000000010]
   • "PackedCatalogItem"=%шестнадцатиричное значение%

– [HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9\Catalog_Entries\000000000011]
   • "PackedCatalogItem"=%шестнадцатиричное значение%

– [HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9\Catalog_Entries\000000000012]
   • "PackedCatalogItem"=%шестнадцатиричное значение%

– [HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9\Catalog_Entries\000000000013]
   • "PackedCatalogItem"=%шестнадцатиричное значение%

– [HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9]
   • "Serial_Access_Num"=dword:00000006
   • "Next_Catalog_Entry_ID"=dword:000003f6

Изменяется следующий ключ реестра:

– [HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\
   Protocol_Catalog9]
   Новое значение:
   • "Num_Catalog_Entries"=dword:0000000d

– [HKLM\SYSTEM\CurrentControlSet\Services\WS2IFSL]
   Новое значение:
   • "Start"=dword:00000003

Данные файла Язык программирования:
Программа была написана на Delphi.

Паковщик:
Для осложнения определения и сокращения размера файла он был запакован следующим паковщиком:

Краткое описание см. здесь.

Описание добавлено: Monica Ghitun Thu, 14 Sep 2006 14:00 (GMT+1)
Описание обновлено: Andrei Ivanes Fri, 13 Oct 2006 10:39 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back