DR/Sohanad.BM.157 - Dropper

Vea también

Resumen

Descripción completa

Estadísticas

Nombre:	DR/Sohanad.BM.157
Descubierto:	30/09/2009
Tipo:	Troyano
En circulación (ITW):	Sí
Número de infecciones comunicadas:	Medio-bajo
Potencial de propagación:	Medio-bajo
Potencial dañino:	Medio-bajo
Fichero estático:	Sí
Tamaño:	529.920 Bytes
Suma de control MD5:	ec80ba08fe2710d8ab5ad280f1b37137
Versión del IVDF:	7.01.06.59

General Alias:
   • Mcafee: W32/YahLover.worm
   • Sophos: W32/SillyFDC-G
   • Panda: W32/Hakaglan.A.worm
   • Eset: Win32/Hakaglan.AH
   • Bitdefender: Trojan.AutoIt.TD

Plataformas / Sistemas operativos:
   • Windows 2000
   • Windows XP
   • Windows 2003

Efectos secundarios:
   • Descarga ficheros dañinos
   • Suelta ficheros dañinos
   • Reduce las opciones de seguridad
   • Modificaciones en el registro

Ficheros Se copia a sí mismo en las siguientes ubicaciones:
   • %WINDIR%\RVHOST.exe
   • %SYSDIR%\RVHOST.exe

Crea el siguiente fichero:

– %WINDIR%\Tasks\At1.job

Intenta descargar algunos ficheros:

– La dirección es la siguiente:
   • http://nhatquanglan2.0catch.com/**********
Al realizar esta descripción, dicho fichero no estaba disponible para análisis adicionales.

– La dirección es la siguiente:
   • http://www.freewebs.com/nhattruongquang/**********
Al realizar esta descripción, dicho fichero no estaba disponible para análisis adicionales.

– La dirección es la siguiente:
   • http://nhatquanglan2.0catch.com/**********
Al realizar esta descripción, dicho fichero no estaba disponible para análisis adicionales.

– La dirección es la siguiente:
   • http://www.freewebs.com/nhattruongquang/**********
Al realizar esta descripción, dicho fichero no estaba disponible para análisis adicionales.

Registro Añade uno de los siguientes valores en el registro, para ejecutar los procesos al reiniciar el sistema:

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "Yahoo Messengger"="%SYSDIR%\RVHOST.exe"

Añade la siguiente clave al registro:

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System]
   • "DisableRegistryTools"=dword:0x00000001
   • "DisableTaskMgr"=dword:0x00000001

Modifica las siguientes claves del registro:

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
   Nuevo valor:
   • "Shell"="Explorer.exe RVHOST.exe"

– [HKLM\SYSTEM\CurrentControlSet\Services\Schedule]
   Nuevo valor:
   • "AtTaskMaxHours"=dword:0x00000000
   • "NextAtJobId"=dword:0x00000003

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
   Nuevo valor:
   • "NofolderOptions"=dword:0x00000001

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings]
   Nuevo valor:
   • "GlobalUserOffline"=dword:0x00000000

Finalización de los procesos El siguiente proceso es finalizado:
• taskmgr.exe

Datos del fichero Programa de compresión de ejecutables:
Para agravar la detección y reducir el tamaño del fichero, emplea un programa de compresión de ejecutables.

Para una breve descripción vea el resumen aquí.

Descripción insertada por Petre Galan el Fri, 05 Feb 2010 12:30 (GMT+1)
Descripción actualizada por Petre Galan el Fri, 05 Feb 2010 12:34 (GMT+1)

» About Malware
» About Phishing
» Virus "In the Wild"

« volver