TR/Drop.Xorer.C - Trojan

это описание доступно в

Резюме

Подробное описание

Статистика

Имя:	TR/Drop.Xorer.C
Обнаружен:	26/02/2008
Вид:	Троянская программа
В реальных условиях:	Да
Отмеченные факты заражения:	Низкий
Потенциал распространения:	От низкого до среднего
Потенциал повреждений:	Средний
Файл статистики:	Нет
Размер файла:	~90.000 байт.
Версия IVDF:	7.00.02.190

Общее Метод распространения:
   • Подключенные сетевые диски

Псевдонимы (аliases):
   • Mcafee: W32/Xorer.c
   • Kaspersky: Virus.Win32.Xorer.dr
   • F-Secure: Virus.Win32.Xorer.dr
   • Sophos: W32/Xorer-B
   • Grisoft: Worm/AutoRun.AR
   • Eset: Win32/Xorer.NAE
   • Bitdefender: Win32.Xorer.DW

Операционные системы:
   • Windows 2000
   • Windows XP
   • Windows 2003

Последствия:
   • Отключение приложений безопасности
   • Загружает файлы
   • Создает вредоносные файлы
   • Снижает уровень настроек безопасности
   • Изменение реестра

Файлы Создаются собственные копии:
   • %SYSDIR%\%множестов случайных чисел от 0 до 9%.log
   • %SYSDIR%\com\lsass.exe
   • %Диск%\pagefile.pif

Создаются следующие файлы:

– %Диск%\autorun.inf Файл является безвредным текстовым файлом со следующим содержимым:
   •

– %SYSDIR%\com\smss.exe После полного завершения процесса создания он запускается на выполнение. Дальнейшие исследования выявили, что данный файл является вредоносной программой. Определен как: W32/Xorer.DU

– %SYSDIR%\com\netcfg.000 Дальнейшие исследования выявили, что данный файл является вредоносной программой. Определен как: TR/Xorer.A.1

– %SYSDIR%\com\netcfg.dll Дальнейшие исследования выявили, что данный файл является вредоносной программой. Определен как: TR/Xorer.A.1

– %SYSDIR%\dnsq.dll Дальнейшие исследования выявили, что данный файл является вредоносной программой. Определен как: TR/Agent.32256.E.2

– %Диск%\NetApi000.sys Дальнейшие исследования выявили, что данный файл является вредоносной программой. Определен как: RKIT/Xorer.A.2

Попытка загрузки следующего файла:

– Следующий URL:
   • http://w.c0mo.com/**********
Файл может содержать адреса для загрузки дополнительных источников возможных угроз.

Реестр Удаляются все значения следующих ключей реестра и их подключей:
   • [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • [HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}]
   • [HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}]

Изменяются следующие ключи реестра:

Различные настройки Explorer:
– [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
   Новое значение:
   • ShowSuperHidden = dword:00000000

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\
   Folder\SuperHidden]
   Новое значение:
   • Type = radio

Инфицирование – Следующий файл вставляется в процесс: %SYSDIR%\dnsq.dll

Имя процесса:
• %все активные процессы%

Разное Связывается со следующим веб-сайтом для проверки установленного Интернет-соединения:
• www.baidu.com

Мьютекс:
Создается мьютекс:
• clsassexe

Данные файла Язык программирования:
Программа была написана на MS Visual C++.

Паковщик:
Для осложнения определения и сокращения размера файла он был запакован следующим паковщиком:
• UPX

Краткое описание см. здесь.

Описание добавлено: Andrei Gherman Mon, 16 Jun 2008 12:29 (GMT+1)
Описание обновлено: Andrei Gherman Thu, 19 Jun 2008 07:26 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back