ESTE SERVIÇO PODE CONTER TRADUÇÕES FEITAS PELO GOOGLE. O GOOGLE SE ISENTA DE TODAS AS GARANTIAS RELACIONADAS ÀS TRADUÇÕES, EXPRESSAS OU IMPLÍCITAS, INCLUINDO QUALQUER RESPONSABILIDADE EM RELAÇÃO À PRECISÃO, CONFIABILIDADE E QUALQUER DEVER IMPLÍCITO SOBRE SUA COMERCIALIZAÇÃO, ADEQUAÇÃO PARA UM FIM ESPECÍFICO E NÃO-VIOLAÇÃO.

Para sua conveniência, o site da Kaspersky Lab foi traduzido com a utilização do software de tradução Google Tradutor. Foram realizados esforços razoáveis para o oferecimento de uma tradução precisa; entretanto, as traduções automatizadas não são perfeitas e tampouco pretendem substituir a tradução qualificada de especialistas. Essas traduções são fornecidas como um serviço para os usuários do site da Kaspersky Lab e são exibidas "como estão". Não há nenhuma garantia de qualquer tipo, seja expressa ou implícita, sobre a precisão, confiabilidade, ou exatidão de quaisquer traduções feitas do inglês para qualquer outro idioma. Alguns conteúdos (como imagens, vídeos, Flash, etc.) podem não estar corretamente traduzidos devido às limitações do programa de tradução.

Trojan-Downloader.Win32.VB

Data de detecção 04/13/2010
Classe Trojan-Downloader
Plataforma Win32
Descrição

O Trojan garante que os arquivos ocultos não possam ser mostrados pelo Explorer.exe modificando os seguintes parâmetros-chave do Registro do sistema:

[HKCUSoftwareMicrosoftWindowsCurrentVersionExplorerAdvanced]
"Oculto" = "0"
"ShowSuperHidden" = "0"

O Trojan também garante que as extensões de arquivo não possam ser exibidas pelo Explorer.exe, definindo os seguintes parâmetros-chave do registro do sistema:

[HKCUSoftwareMicrosoftWindowsCurrentVersionExplorerAdvanced]
"HideFileExt" = "1"

Para impedir que esses parâmetros sejam revertidos, o Trojan desabilita "Opções de Pasta" no Explorer.exe, definindo o seguinte parâmetro-chave do Registro do sistema:

[HKLMSoftwareMicrosoftWindowsCurrentVersionpoliciesexplorer]
"NoFolderOptions" = "1"

O Trojan, em seguida, cria uma pasta oculta chamada "psador18.dll" no diretório de sistema do Windows:

% System% ðsàdîr18.dll

O arquivo contém os seguintes endereços de e-mail:

ot01_***@mail.ru
ot02_***@mail.ru

O Trojan também extrai um rootkit chamado "psagor18.sys" do seu corpo. Este arquivo será colocado no diretório de trabalho do Trojan. Este rootkit inclui funções que ocultam a presença dos arquivos "psador18.dll" e "AHTOMSYS19.exe". Também oferece ao cavalo de Tróia os mais altos privilégios do sistema, impossibilitando a exclusão do arquivo Trojan ou a finalização de processos de Trojan.

Quando o sistema é desligado, esse arquivo será excluído, mas será recriado quando o sistema for reinicializado.

O Trojan rastreia a aparência das janelas com os seguintes títulos:

NOD32 2.5 Centro de Controle
Сканер NOD32 требованию по – [Профиль центра управления – Локально] Сканер NOD32 по требованию – [Профиль контекстного меню] NOD32 – Предупреждение Пpeдупpeждeниe Редактор конфиг урации NOD32 – [Untitled] Антивирус Касперского pessoais 0- выполняется проверка … Карантин Настройка обновления Настройка карантина и резервного хранилища AVP.MessageDialog AVP.MainWindow AVP.Product_Notification AVP.SettingsWindow AVP.ReportWindow Agnitum Outpost Firewall – configuration.cfg Faça login no Facebook Faça um comentário sobre o RegEdit_RegEdit

Se o Trojan detectar tais janelas, elas serão automaticamente fechadas.

O Trojan também procura dispositivos flash. Se detectar qualquer um desses dispositivos, o Trojan copiará seu corpo como "CDburn.exe" e criará um arquivo chamado "autorun.inf", que contém um link para o corpo do cavalo de Tróia. Isso garante que o arquivo Trojan seja iniciado automaticamente toda vez que o dispositivo for conectado.

O Trojan também coleta endereços de e-mail da máquina da vítima e envia uma mensagem de e-mail para eles. O email tem uma linha de assunto vazia e o seguinte conteúdo:

Ю незнаю ее там помоему небыло ((… вот, посмотри http://softclub.land.ru/seeing/katie.rar

Link para o original