TR/Hupigon.MY - Trojan

это описание доступно в

Резюме

Подробное описание

Статистика

Имя:	TR/Hupigon.MY
Обнаружен:	19/10/2006
Вид:	Троянская программа
В реальных условиях:	Нет
Отмеченные факты заражения:	Низкий
Потенциал распространения:	Низкий
Потенциал повреждений:	Средний
Файл статистики:	Да
Размер файла:	396.230 байт.
Контрольная сумма MD5:	9761700bdb80002583ea2ce27d131959
Версия VDF:	6.36.00.61
Версия IVDF:	6.36.00.75

Общее Метод распространения:
   • Нет собственной процедуры распространения

Псевдонимы (аliases):
   • Mcafee: BackDoor-AWQ.b
   • Kaspersky: Backdoor.Win32.Hupigon.clv
   • F-Secure: Backdoor.Win32.Hupigon.clv
   • Eset: Win32/Hupigon.MN

Операционные системы:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Последствия:
   • Создает файл
   • Изменение реестра
   • Похищает информацию
   • Позволяет несанкционированно подключиться к компьютеру

Файлы Создается собственная копия:
• %WINDIR%\Server

Выполненная копия программы удаляется.

Создается файл:

– %WINDIR%\Delete.bat После полного завершения процесса создания он запускается на выполнение. Данный batch-файл используется для удаления файла.

Попытка запустить на выполнение следующий файл:

– Имя файла:
• %PROGRAM FILES%\Internet Explorer\iexplore.exe

Реестр Для загрузки служб после перезагрузки системы добавляются следующие ключи реестра.

– [HKLM\SYSTEM\CurrentControlSet\Services\system32]
   • "Type"=dword:00000110
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000000
   • "ImagePath"="%WINDIR%\Server"
   • "DisplayName"="system"
   • "ObjectName"="LocalSystem"
   • "Description"="windows%случайная буквенная комбинация%"

– [HKLM\SYSTEM\CurrentControlSet\Services\system32\Security]
   • "Security"=%шестнадцатиричное значение%

– [HKLM\SYSTEM\CurrentControlSet\Services\system32\Enum]
   • "0"="Root\\LEGACY_SYSTEM32\\0000"
   • "Count"=dword:00000001
   • "NextInstance"=dword:00000001

Добавляются следующие ключи реестра:

– [HKCR\CLSID\{%созданный CLSID%}]
   • @="%случайная буквенная комбинация%"

– [HKCR\CLSID\{%созданный CLSID%}\InprocServer32]
   • @=

– [HKCR\CLSID\{%созданный CLSID%}\ProgID]
   • @=

– [HKCR\CLSID\{%созданный CLSID%}\Programmable]
   • @=""

– [HKCR\CLSID\{%созданный CLSID%}\TypeLib]
   • @="{%созданный CLSID%}"

– [HKCR\CLSID\{%созданный CLSID%}\Version]
   • @=

– [HKCR\CLSID\{%созданный CLSID%}\
   VersionIndependentProgID]
   • @=

– [HKCR\TypeLib\{%созданный CLSID%}]
   • @=""

– [HKCR\TypeLib\{%созданный CLSID%}\1.0]
   • @=

– [HKCR\TypeLib\{%созданный CLSID%}\1.0\0]
   • @=""

– [HKCR\TypeLib\{%созданный CLSID%}\1.0\0\win32]
   • @=

– [HKCR\TypeLib\{%созданный CLSID%}\1.0\FLAGS]
   • @="0"

– [HKCR\TypeLib\{%созданный CLSID%}\1.0\HELPDIR]
   • @=

– [HKCU\Software\ASProtect\SpecData]
   • @="73C2167373C21673"
   • "73C2167373C21673"=%шестнадцатиричное значение%

– [HKCR\.key]
   • @="regfile"

Backdoor Устанавливает соединение с сервером
Следующий:
   • 33733.ipread.**********:8000

В результате может пересылаться информация.

Передает информацию о:
    • Имя компьютера
    • IP адрес
    • Системное время
    • Информация об операционной системе Windows

Разное Мьютекс:
Создается мьютекс:
• HUIGEZI1.2320060923

Данные файла Язык программирования:
Программа была написана на Delphi.

Паковщик:
Для осложнения определения и сокращения размера файла он был запакован следующим паковщиком:

Краткое описание см. здесь.

Описание добавлено: Monica Ghitun Thu, 19 Oct 2006 16:21 (GMT+1)
Описание обновлено: Adriana Popa Thu, 16 Nov 2006 11:51 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back