TR/Agent.PY.10 - Trojan

это описание доступно в

Резюме

Подробное описание

Статистика

Имя:	TR/Agent.PY.10
Обнаружен:	11/07/2006
Вид:	Троянская программа
В реальных условиях:	Нет
Отмеченные факты заражения:	Низкий
Потенциал распространения:	Средний
Потенциал повреждений:	Средний
Файл статистики:	Да
Размер файла:	54.784 байт.
Контрольная сумма MD5:	eb4899e6df00aa00209f6452e92e11fd
Версия VDF:	6.35.00.146
Версия IVDF:	6.35.00.185

Общее Метод распространения:
   • Локальная сеть

Псевдонимы (аliases):
   • Kaspersky: Backdoor.Win32.Allaple.a
   • TrendMicro: BKDR_AGENT.CXS
   • VirusBuster: Trojan.Agent.PKB
   • Bitdefender: Trojan.Agent.PY

Операционная система:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Последствия:
   • Создает файлы
   • Создает вредоносные файлы
   • Изменение реестра

Файлы Следующие файлы могут быть повреждены:
• %случайно выбранная директория%\*.htm
• %случайно выбранная директория%\*.html

Создаются следующие файлы:

– %случайно выбранная директория%\%случайная комбинация букв из восьми букв%.exe
– %SYSDIR%\%случайная комбинация букв из восьми букв%.dll Дальнейшие исследования выявили, что данный файл является вредоносной программой. Определен как: BDS/Allaple.A.1

– %SYSDIR%\%случайная комбинация букв из восьми букв%.dll Определен как: DR/RAHack.FF.2

– %SYSDIR%\%случайная комбинация букв из восьми букв%.dll Определен как: TR/Agent.PY.7

– %SYSDIR%\%случайная комбинация букв из восьми букв%.dll Определен как: TR/Agent.PY.8

– %SYSDIR%\%случайная комбинация букв из восьми букв%.dll Определен как: TR/Agent.PY.9

– %SYSDIR%\%случайная комбинация букв из восьми букв%.dll Определен как: TR/Agent.PY.11

Реестр Добавляются следующие ключи реестра:

– HKCR\CLSID\{%созданный CLSID%}
   • (Default) = "%случайная буквенная комбинация%"

– HKCR\CLSID\{%созданный CLSID%}\LocalServer32
   • (Default) = "%случайно выбранная директория%\%случайная комбинация букв из восьми букв%.exe"

– HKCR\\CLSID\{%созданный CLSID%}\InprocServer32
   • (Default) = "%SYSDIR%\%случайная комбинация букв из восьми букв%.dll"

Сетевое инфицирование Вредоносная программа пытается установить соединение с другим компьютером для целей дальнейшего распространения. Подробности приводятся далее.

Для обеспечения доступа к удаленному компьютеру используется следующая регистрационная информация:

– Список паролей:
   • "123456789"; "12345678"; "11111111"; "password"; "qwertyui";
      "00000000"; "12341234"; "87654321"; "!@; $%^&*"; "*&^%$; @!"; "!@;
      $%^&*()"; "!@; $%^&*("; "(*&^%$; @!"; ")(*&^%$; @!"; "23456789";
      "PASSWORD"; "mypassword"; "remoteadmin"; "987654321"; "0987654321";
      "09876543"; "PASSWORD"; "5tg6yh"; "MyPassword"; "55555555";
      "999999999"; "22222222"; "20022002"; "20032003"; "20042004";
      "20052005"; "windoze2k"; "88888888"; "1234567890"; "0987654321";
      "nopassword"

Генарация IP адресов:
Создаются случайные IP адреса и производится попытка установить соединение с этим адресом.

Процесс инфицирования:
Выбранный компьютер начинает скачивать вредоносные программы.
Загруженный файл сохраняется на удаленном компьютере в следующем виде: C:\wutemp\irvxc.exe

Разное Связывается со следующими веб-сайтами для проверки установленного Интернет-соединения:
   • http://www.if.ee
   • http://www.starman.ee

Мьютекс:
Создается мьютекс:
   • jhdgcjhasgdcjasgcjhg2763876uyg3fhg

Данные файла Язык программирования:
Программа была написана на MS Visual C++.

Паковщик:
Для осложнения определения и сокращения размера файла он был запакован следующим паковщиком:

Краткое описание см. здесь.

Описание добавлено: Marius T. Nicolae Thu, 31 Aug 2006 15:38 (GMT+1)
Описание обновлено: Marius T. Nicolae Fri, 15 Sep 2006 14:27 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back