TR/PSW.Legendmir.DT - Trojan

это описание доступно в

Резюме

Подробное описание

Статистика

Имя:	TR/PSW.Legendmir.DT
Обнаружен:	10/10/2006
Вид:	Троянская программа
В реальных условиях:	Да
Отмеченные факты заражения:	Низкий
Потенциал распространения:	Низкий
Потенциал повреждений:	Средний
Файл статистики:	Да
Размер файла:	52.217 байт.
Контрольная сумма MD5:	4dd6ae5c4efd96ee00ccad73c6b7ab38
Версия VDF:	6.36.00.61
Версия IVDF:	6.36.00.75

Общее Метод распространения:
   • Нет собственной процедуры распространения

Псевдонимы (аliases):
   • Mcafee: PWS-WoW trojan
   • Kaspersky: Trojan-PSW.Win32.WOW.jf
   • Sophos: Troj/WOW-HI
   • Eset: Win32/PSW.Legendmir

Операционные системы:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Последствия:
   • Создает файлы
   • Изменение реестра
   • Использует уязвимость ПО
   • Похищает информацию

Файлы Создаются собственные копии:
   • %WINDIR%\LSASS.exe
   • %WINDIR%\EXERT.exe
   • %PROGRAM FILES%\Internet Explorer\INTEXPLORE.com
   • %PROGRAM FILES%\Common Files\INTEXPLORE.pif
   • %SYSDIR%\dxdiag.com
   • %SYSDIR%\MSCONFIG.COM
   • %SYSDIR%\regedit.com
   • %WINDIR%\Debug\DebugProgram.exe
   • D:\command.com

Создается файл:

– D:\autorun.inf После полного завершения процесса создания он запускается на выполнение. Содержит используемые вредоносным ПО параметры

Реестр Добавляется ключ реестра (бесконечный цикл) для повторного запуска процесса после перезагрузки системы.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "ToP"="%WINDIR%\LSASS.exe"

Удаляется значение следующего ключа реестра:

– [HKLM\SECURITY\RXACT\Log]

Удаляются все значения следующего ключа реестра и его подключей:
   • [HKLM\SAM\SAM]

Добавляются следующие ключи реестра:

– [HKCR\WindowFiles\DefaultIcon]
   • "(Default)"="%1"

– [HKCR\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\
   OpenHomePage\Command]
   • "(Default)"=""%PROGRAM FILES%\Internet Explorer\INTEXPLORE.com""

– [HKCR\WindowFiles\Shell\Open\Command]
   • "(Default)"="%WINDIR%\EXERT.exe "%1" %*"

– [HKCU\Software\VB and VBA Program Settings\Microsoft Soft Debuger\
   Settings]
   • "GUID"="{E4C6MY-V2IHI1-3W0IJ0-JG4EWB-6O7JE8}"

Изменяются следующие ключи реестра:

– [HKCU\Software\Microsoft\Internet Explorer\Main]
   Новое значение:
   • "Check_Associations"="No"

– [HKCR\htmlfile\shell\open\command]
   Новое значение:
   • "(Default)"=""%PROGRAM FILES%\Internet Explorer\INTEXPLORE.com" -nohome"

– [HKCR\Applications\iexplore.exe\shell\open\command]
   Новое значение:
   • "(Default)"=""%PROGRAM FILES%\Internet Explorer\INTEXPLORE.com" %1"

– [HKCR\ftp\shell\open\command]
   Новое значение:
   • "(Default)"=""%PROGRAM FILES%\Internet Explorer\INTEXPLORE.com" %1"

– [HKCR\htmlfile\shell\opennew\command]
   Новое значение:
   • "(Default)"=""%PROGRAM FILES%\Common Files\INTEXPLORE.pif" %1"

– [HKCR\http\shell\open\command]
   Новое значение:
   • "(Default)"=""%PROGRAM FILES%\Common Files\INTEXPLORE.pif" %1"

– [HKCR\.exe]
   Новое значение:
   • "(Default)"="WindowFiles"

Сетевое инфицирование Эксплойт:
Используется следующая брешь в безопасности:
– MS04-011 (Уязвимость LSASS)

Завершение процесса Список завершаемых процессов:
   • RAVMON*; TROJDIE*; KPOP*; CCENTER*; *ASSISTSE*; KPFW*; AGENTSVR*; KV*;
      KREG*; IEFIND*; IPARMOR*; SVI.EXE; UPHC*; RULEWIZE*; FYGT*; RFWSRV*;
      RFWMA*; TROJAN*; MMSK*

Кража Попытка кражи следующей информации:
– Введенные в поле пароля символы

– Пароль программы:
   • World of Warcraft

– После посещения одной из следующих веб-страниц была запущена функция протоколирования:
   • us.logon.worldofwarcraft.com
   • eu.logon.worldofwarcraft.com
   • tw.logon.worldofwarcraft.com

– Протоколируется:
    • Регистрационная информация

Данные файла Язык программирования:
Программа была написана на Visual Basic.

Паковщик:
Для осложнения определения и сокращения размера файла он был запакован следующим паковщиком:

Краткое описание см. здесь.

Описание добавлено: Monica Ghitun Tue, 10 Oct 2006 15:52 (GMT+1)
Описание обновлено: Monica Ghitun Wed, 01 Nov 2006 09:43 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back