Avira Virus Lab

BDS/Androm.uda

  • Nome
    BDS/Androm.uda
  • Scoperto
    24/nov/2015
  • Tipo
    Malware
  • Impatto
    Livello medio 
  • Infezioni segnalate
    Livello basso 
  • Sistema operativo
    Windows
  • Versione VDF
    7.11.82.162 (2013-06-04 02:34)

Il termine 'BDS' indica un programma di server backdoor. Con l'aiuto di un programma di server i dati possono essere modificati, cancellati o spiati.

  • VDF
    7.11.82.162 (2013-06-04 02:34)
  • Aliases
    Avast: Win32:MalPack-G
    AVG: SHeur4.BJTP
    ClamAV: Win.Trojan.Agent-944769
    Dr. Web: BackDoor.IRC.NgrBot.42
    F-PROT: W32/Dorkbot.P.gen!Eldorado (generic, not disinfectable)
    Trend Micro: WORM_DORKBOT.SK
    Microsoft: Worm:Win32/Dorkbot.I
    G Data: Trojan.Dorkbot.IC
    Kaspersky Lab: Trojan.Win32.Agent.ibnd
    Bitdefender: Trojan.Dorkbot.IC
    ESET: Win32/Dorkbot.B worm
  • File
    Sono state create le seguenti copie dello stesso file:
    • %APPDATA%\temp.bin
    • %APPDATA%\ScreenSaverPro.scr
    • %USERPROFILE%\Start Menu\Programs\Startup\NTDETECT.COM
    • %APPDATA%\Microsoft\Klocom.exe
    Sono stati rinominati i seguenti file:
    • %TEMPDIR%\WinPcap_4_1_3.exe
    Sono stati eliminati i seguenti file:
    • %TEMPDIR%\WinPcap_4_1_3.exe.gonewiththewings
    Sono stati modificati i seguenti file:
    • %temporary internet files%\Content.IE5\index.dat
    • %USERPROFILE%\Cookies\index.dat
    • %USERPROFILE%\Local Settings\History\History.IE5\index.dat
    • %WINDIR%\Sti_Trace.log
    • %temporary internet files%\Content.IE5\index.dat
    • %USERPROFILE%\Cookies\index.dat
    • %USERPROFILE%\Local Settings\History\History.IE5\index.dat
    • %WINDIR%\Prefetch\SVCHOST.EXE-3530F672.pf
  • Iniezioni
    • %SYSDIR%\cmd.exe
    • %SYSDIR%\ipconfig.exe
    • %DISKDRIVE%\hips\loader.exe
    • %WINDIR%\System32\svchost.exe
    • %SYSDIR%\svchost.exe
    • %SYSDIR%\mspaint.exe
    • \SystemRoot\System32\smss.exe
    • \??\%SYSDIR%\csrss.exe
    • \??\%SYSDIR%\winlogon.exe
    • %SYSDIR%\services.exe
    • %PROGRAM FILES%\VMware\VMware Tools\vmacthlp.exe
    • %WINDIR%\Explorer.EXE
    • %SYSDIR%\spoolsv.exe
    • %PROGRAM FILES%\FileZilla Server\FileZilla Server Interface.exe
    • %PROGRAM FILES%\VMware\VMware Tools\VMwareTray.exe
    • %PROGRAM FILES%\VMware\VMware Tools\vmtoolsd.exe
    • %WINDIR%\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe
    • %PROGRAM FILES%\FileZilla Server\FileZilla Server.exe
    • %WINDIR%\System32\alg.exe
    • %SYSDIR%\wscntfy.exe
    • %DISKDRIVE%\totalcmd\TOTALCMD.EXE
    • %SYSDIR%\msiexec.exe
    • %PROGRAM FILES%\Java\jre6\bin\jqs.exe
    • %SYSDIR%\wbem\wmiprvse.exe
    • %PROGRAM FILES%\WinPcap\rpcapd.exe
  • Registro
    Vengono aggiunte le seguenti entità di registro:
    • HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run ("Screen Saver Pro 3.1": "%APPDATA%\ScreenSaverPro.scr")
    • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\ServiceCurrent (@: dword:00000011)
    • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_STISVC\0000\Control ("ActiveService": "stisvc")
    • HKEY_CURRENT_CONFIG\Software\Microsoft\windows\CurrentVersion\Internet Settings ("ProxyEnable": dword:00000000)
    • HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run ("Klocom": "%APPDATA%\Microsoft\Klocom.exe")
    • HKEY_CURRENT_CONFIG\Software\Microsoft\windows\CurrentVersion\Internet Settings ("ProxyEnable": dword:00000000)
    I valori delle seguenti chiavi di registro vengono rimossi:
    • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run (StillImageMonitor: -)
  • Richieste HTTP
    • api.*****nia.com/

Aiutaci a rendere il web più sicuro: inviaci i file/URL sospetti da analizzare.

Invia il tuo file/URL oppure Vai ad Avira Answers

Perché inviare un file sospetto?

Se ti imbatti in un file o sito Web sospetto che non è presente nel nostro database, lo analizzeremo per stabilire se è dannoso. I risultati saranno quindi distribuiti ai milioni di nostri utenti non appena eseguiranno l'aggiornamento del database dei virus. Se utilizzi Avira, anche tu riceverai l'aggiornamento. Non avete Avira? Scaricalo dalla nostra home page.

Che cos'è Avira Answers?

È la nostra fiorente comunità di tecnici professionisti ed esperti part-time che collaborano per risolvere i problemi tecnici. È il luogo ideale per porre le tue domande a una comunità di altri utenti Avira.