TR/IRCBot.36864.6 - Trojan

это описание доступно в

Резюме

Подробное описание

Статистика

Имя:	TR/IRCBot.36864.6
Обнаружен:	27/10/2006
Вид:	Троянская программа
В реальных условиях:	Нет
Отмеченные факты заражения:	Низкий
Потенциал распространения:	Низкий
Потенциал повреждений:	Средний
Файл статистики:	Да
Размер файла:	36.864 байт.
Контрольная сумма MD5:	e9e2e113fdf03154593a6881c275f7b9
Версия VDF:	6.36.01.136
Версия IVDF:	6.36.01.144

Общее Метод распространения:
   • Нет собственной процедуры распространения

Псевдонимы (аliases):
   • Mcafee: BackDoor-CMQ
   • Kaspersky: Trojan-Proxy.Win32.Horst.pg
   • TrendMicro: TROJ_HORST.HI
   • F-Secure: Trojan-Proxy.Win32.Horst.pg
   • Eset: Win32/Medbot.BW

Ранее были обнаружены как:
   • Worm/IRCBot.36864.6

Операционные системы:
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Последствия:
   • Загружает файл
   • Изменение реестра
   • Позволяет несанкционированно подключиться к компьютеру

Файлы Создаются собственные копии:
   • %SYSDIR%\smss.exe
   • %Рабочая папка вредоносной программы%\smssb.exe

Попытка загрузки следующих файлов:

– Следующий URL:
   • http://up.medbod.com/up/**********
На момент проверки данный файл не был доступен.

– Следующий URL:
   • http://up.medbod.com/up/**********
Сохраняется локально в: %TEMPDIR%\upd%случайная комбинация из трех букв%.exe Данный файл запускается на выполнение после его полной загрузки. На момент проверки данный файл не был доступен.

Реестр Добавляется ключ реестра для повторного запуска процесса после перезагрузки системы.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • ".nvsvc"="%SYSDIR%\smss.exe /w"

Удаляется значение следующего ключа реестра:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "KAVPersonal50"

Изменяется следующий ключ реестра:

– [HKLM\SYSTEM\CurrentControlSet\Services\wuauserv]
   Новое значение:
   • "Start"=dword:00000004

IRC Для передачи информации о системе и обеспечения удаленного управления устанавливаются соединения со следующими IRC серверами:

Сервер: news.zabaren.**********
Порт: 80
Имя: jega-1_%случайная комбинация из четырех букв%_%случайная комбинация из четырех букв%

Сервер: in.lorenim.**********
Порт: 80
Имя: jega-1_%случайная комбинация из четырех букв%_%случайная комбинация из четырех букв%

Сервер: sys.medarun.**********
Порт: 80
Имя: jega-1_%случайная комбинация из четырех букв%_%случайная комбинация из четырех букв%

– Вредоносная программа обладает способностью выполнять следующие действия:
• Загрузить файл
• Запустить файл

Завершение процесса Список завершаемых служб:
   • wuauserv
   • nava
   • psvc
   • Symantec Core LC
   • SAVScan
   • kavsvc
   • wscsvc

Backdoor Устанавливает соединение с сервером
Следующий:
• dl.medbod.**********:1900(UDP)

В результате может пересылаться информация.

Инфицирование – Объект внедряется в процесс.

    Имя процесса:
   • svchost.exe

   При успешном выполнении вредоносная программа завершается. Инфицированная часть остается при этом активной.

Разное Мьютекс:
Создается мьютекс:
• 3645FBCD-ECD2-23D0-BAC4-00DE453DEF6B

Данные файла Язык программирования:
Программа была написана на MS Visual C++.

Паковщик:
Для осложнения определения и сокращения размера файла он был запакован следующим паковщиком:
• UPX

Краткое описание см. здесь.

Описание добавлено: Adriana Popa Tue, 05 Dec 2006 13:30 (GMT+1)
Описание обновлено: Adriana Popa Thu, 07 Dec 2006 11:54 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back