TR/Drop.Xorer.C - Trojan

In alte limbi

Scurta descriere

Descriere completa

Statistici

Nume:	TR/Drop.Xorer.C
Descoperit pe data de:	26/02/2008
Tip:	Troian
ITW:	Da
Numar infectii raportate:	Scazut
Potential de raspandire:	Scazut spre mediu
Potential de distrugere:	Mediu
Fisier static:	Nu
Marime:	~90.000 Bytes
Versiune IVDF:	7.00.02.190

General Metoda de raspandire:
   • Discuri de retea mapate

Alias:
   • Mcafee: W32/Xorer.c
   • Kaspersky: Virus.Win32.Xorer.dr
   • F-Secure: Virus.Win32.Xorer.dr
   • Sophos: W32/Xorer-B
   • Grisoft: Worm/AutoRun.AR
   • Eset: Win32/Xorer.NAE
   • Bitdefender: Win32.Xorer.DW

Sistem de operare:
   • Windows 2000
   • Windows XP
   • Windows 2003

Efecte secundare:
   • Inchide aplicatiile de securitate
   • Descarca fisiere
   • Creeaza fisiere malware
   • Reduce setarile de securitate
   • Modificari in registri

Fisiere Se copiaza in urmatoarele locatii:
   • %SYSDIR%\%cateva numere aleatoare de la 0 la 9%.log
   • %SYSDIR%\com\lsass.exe
   • %unitate disc%\pagefile.pif

Sunt create fisierele:

– %unitate disc%\autorun.inf Acesta este un fisier text care nu prezinta pericol si are urmatorul continut:
   • %cod care ruleaza fisierul malitios%

– %SYSDIR%\com\smss.exe Fisierul este executat dupa ce a fost creat. Analiza ulterioara a relevat ca si acest fisier este malware. Detectat ca: W32/Xorer.DU

– %SYSDIR%\com\netcfg.000 Analiza ulterioara a relevat ca si acest fisier este malware. Detectat ca: TR/Xorer.A.1

– %SYSDIR%\com\netcfg.dll Analiza ulterioara a relevat ca si acest fisier este malware. Detectat ca: TR/Xorer.A.1

– %SYSDIR%\dnsq.dll Analiza ulterioara a relevat ca si acest fisier este malware. Detectat ca: TR/Agent.32256.E.2

– %unitate disc%\NetApi000.sys Analiza ulterioara a relevat ca si acest fisier este malware. Detectat ca: RKIT/Xorer.A.2

Incearca sa descarce un fisier:

– Adresa este urmatoarea:
   • http://w.c0mo.com/**********
Acest fisier poate contine si alte locatii de descarcare si poate servi ca sursa de noi amenintari.

Registrii sistemului Se sterg urmatoarele chei din registri, inclusiv toate valorile si cheile subordnate:
   • [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • [HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}]
   • [HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}]

Urmatoarele chei din registri sunt modificate:

Diverse setari in Explorer:
– [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
   Noua valoare:
   • ShowSuperHidden = dword:00000000

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\
   Folder\SuperHidden]
   Noua valoare:
   • Type = radio

Injectarea codului malware in alte procese – Injecteaza fisierul urmator intr-un proces: %SYSDIR%\dnsq.dll

Numele procesului:
• %toate procesele active%

Alte informatii Cauta o conexiune Internet, contactand urmatorul website:
• www.baidu.com

Mutex:
Creeaza urmatorul mutex:
• clsassexe

Detaliile fisierului Limbaj de programare:
Limbaj de programare folosit: C (compilat cu Microsoft Visual C++).

Compresia fisierului:
Pentru a ingreuna detectia si a reduce marimea fisierului, este folosit urmatorul program de arhivare:
• UPX

Pentru o descriere scurta click aici.

Descriere introdusa de Andrei Gherman la Mon, 16 Jun 2008 12:29 (GMT+1)
Descriere actualizata de Andrei Gherman la Thu, 19 Jun 2008 07:26 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back