Full description

病毒:	TR/Spyeye.AK
发现日期:	13/12/2012
类型:	特洛伊木马
广泛传播:	是
病毒传播个案呈报：	低程度至中程度
感染/传播能力：	低程度
破坏 / 损害程度：	低程度至中程度
静态文件:	是
文件大小:	169.472 字节
MD5 校检和:	d86475833d1edf6838acade9827f42f2
VDF 版本:	7.11.53.216 - 2012년 12월 13일 목요일
IVDF 版本:	7.11.53.216 - 2012년 12월 13일 목요일

况概描述 别名:
   • Mcafee: PWS-Spyeye
   • Kaspersky: Trojan.Win32.Jorik.SpyEyes.il
   • Bitdefender: Win32.Worm.Rimecud.BL
   • GData: Win32.Worm.Rimecud.BL

平台/操作系统:
   • Windows 2000
   • Windows XP
   • Windows 2003

副作用:
   • 植入恶意文件
   • 注册表修改
   • 窃取信息

文件它将本身复制到以下位置:
• C:\mssm\mssm.exe

它会删除其本身最初执行的副本。

创建以下文件:

– C:\mssm\config.bin

它会尝试执行以下文件:

– 文件名:
• C:\mssm\mssm.exe

注册表会添加以下注册表项，以便在系统重新引导后运行进程:

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "mssm.exe"="C:\mssm\mssm.exe"

会删除以下注册表项的注册值:

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings]
   • AutoConfigURL
   • ProxyOverride
   • ProxyServer

会添加以下注册表项目注册值:

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings]
   • "GlobalUserOffline"=dword:0x00000000
   • "WarnOnIntranet"=dword:0x00000000

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\
   Zones\0]
   • "1409"=dword:0x00000003

– [HKCU\Software\Microsoft\Internet Explorer\PhishingFilter]
   • "ShownServiceDownBalloon"=dword:0x00000000

– [HKCU\Software\Microsoft\Internet Explorer\Recovery]
   • "ClearBrowsingHistoryOnExit"=dword:0x00000000

会更改以下注册表项:

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\
   Zones\1]
   新值:
   • "1406"=dword:0x00000000
   • "1409"=dword:0x00000003
   • "1609"=dword:0x00000000

– [HKCU\Software\Microsoft\Internet Explorer\PhishingFilter]
   新值:
   • "EnabledV8"=dword:0x00000000

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\
   Zones\0]
   新值:
   • "1406"=dword:0x00000000
   • "1609"=dword:0x00000000

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\
   Zones\2]
   新值:
   • "1406"=dword:0x00000000
   • "1409"=dword:0x00000003
   • "1609"=dword:0x00000000

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\
   Lockdown_Zones\4]
   新值:
   • "1406"=dword:0x00000000

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\
   Lockdown_Zones\1]
   新值:
   • "1406"=dword:0x00000000

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\
   Lockdown_Zones\2]
   新值:
   • "1406"=dword:0x00000000

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\
   Lockdown_Zones\3]
   新值:
   • "1406"=dword:0x00000000

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings]
   新值:
   • "EnableHttp1_1"=dword:0x00000001
   • "MigrateProxy"=dword:0x00000001
   • "ProxyEnable"=dword:0x00000000
   • "ProxyHttp1.1"=dword:0x00000001
   • "WarnOnPost"=hex:00,00,00,00
   • "WarnOnPostRedirect"=dword:0x00000000

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\
   Zones\3]
   新值:
   • "1406"=dword:0x00000000
   • "1409"=dword:0x00000003
   • "1609"=dword:0x00000000

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\
   Zones\4]
   新值:
   • "1406"=dword:0x00000000
   • "1409"=dword:0x00000003
   • "1609"=dword:0x00000000

后门程序 访问服务器:
以下所有内容:
• cos**********.asia:8080 (TCP)
• http://cosmar-goiano.asia/gdr/**********?guid=%字符串%&ver=%数字%&ie=%字符串%&os=%字符串%&ut=%字符串%&ccrc=%字符串%&md5=%字符串%&plg=%字符串%&stat=%字符串%

窃取它会尝试窃取以下信息:
– 记录的密码由自动完成功能使用

– 来自以下程序的密码:
• Mozilla Firefox
• Internet Explorer

注入进程 – 它会将其本身作为远程线程注入到进程中。

进程名:
• explorer.exe

– 它会将其本身作为远程线程注入到进程中。

它被注入到所有进程中。

其他通过访问以下网站来检查 Internet 连接:
• http://www.microsoft.com/

Mutex:
它会创建以下 Mutex:
• BoHjj8VTUUgUUUuuUuTFvDFYeJxCK

文件详细信息 编程语言:
该恶意软件程序是用 MS Visual C++ 编写的。

运行时压缩程序:
为了提高检测难度以及减小文件，它已使用运行时压缩程序进行压缩。

说明添加者： Petre Galan 打开 2011年7月13日星期三
说明更新者： Petre Galan 打开 2011年7月13日星期三

反馈 . . . .

需要修复电脑？

我的帐户