TR/Dldr.EbayBill.H - Trojan

See also

Full description

Virus:	TR/Dldr.EbayBill.H
Date discovered:	29/08/2006
Type:	Trojan
Subtype:	Downloader
In the wild:	Yes
Reported Infections:	Low to medium
Distribution Potential:	Low to medium
Damage Potential:	Low to medium
Static file:	Yes
File size:	14.848 Bytes
MD5 checksum:	fcefcd8761152f5a78adf76f27b4bca7
VDF version:	6.35.01.153
IVDF version:	6.35.01.156
Heuristic:	HEUR/Trojan.Downloader

General Method of propagation:
   • Email

Alias:
   • Sophos: Troj/Clagger-AB

Platforms / OS:
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Side effects:
   • Downloads a malicious file
   • Registry modification

Files It copies itself to the following location:
• %SYSDIR%\ipf.exe

The following file is created:

– %SYSDIR%\drivers\winut.dat

Registry The following registry key is added in order to run the process after reboot:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
• "ifp"="%SYSDIR%\ipf.exe"

The following registry key is added:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion]
• "windowsshell"=dword:00000001

Email It doesn't have its own spreading routine but it was spammed out via email. The characteristics are described in the following:

Email design:

From: "Telekom"
Subject: Telekom
Body:
   • Guten Tag,
     die Gesamtsumme für Ihre Rechnung im Monat August beträgt: 1100 Euro.


     Sind Sie Unternehmer und benötigen unsere Rechnung zur Geltendmachung von
     Vorsteuerabzug? Bitte beachten Sie dann, dass Sie seit 29.12.2004 die
     Möglichkeit haben, Ihre Rechnung per E-Mail mit einer qualifizierten
     elektronischen Signatur zu erhalten. Sie können diese im Bereich"persönliche
     Einstellungen" aktivieren.
     Sollten Sie dem Finanzamt bisher eine von Ihnen zusätzlich beauftragte
     Rechnung in Papierform zum Vorsteuerabzug vorgelegt haben, bitten wiraußerdem
     zu beachten, dass wir Ihnen diese nur noch in Form eines "Rechungsdoppels"
     bieten können, da nur so vermieden werden kann, dass T-Com mehrere
     Rechnungsoriginale ausstellt.

     Antworten auf Ihre weiteren Fragen zur digitalen Signatur finden Sie auch in
     unseren FAQs unter dem Stichwort "Digitale Signatur".
     ======================================
     RECHNUNG ONLINE - TIPP DES MONATS
     Die neuen WünschDirWas Tarife sind jetzt da! Jetzt online anmelden unter
     www.t-com.de/reo/WuenschDirWas und bis zu 10,- Euro sparen.
     Die aktuellen Top-Angebote der Deutschen Telekom finden Sie unter:
     www.t-com.de/aktuell.
     ======================================

     Bei Fragen zu Rechnung Online oder zum Rechnungsinhalt klicken Sie bitteunter
     www.t-com.de/rechnung (oben links) auf "Kontakt".


     Mit freundlichen Grüßen
     Ihre T-Com

Backdoor Contact server:
All of the following:
   • http://66.235.203.21/~academic/img/**********
   • http://sbest.de/deutsch/**********
   • http://theblogsolution.com/success/**********
   • http://warm.kiev.ua/**********
   • http://eji.kiev.ua/**********
   • http://www.goofyracing.com/public_html/slidet/kiti99tarjouspyynnot1_files/**********
   • http://haglerstudios.com/banner/**********
   • http://www.lynnehassell.com/video/**********
   • http://iondrive.com/images/**********

Once connected it will retrieve an additional list of servers.
The servers answer is written to the file: %SYSDIR%\winut.dat

Remote control capabilities:
    • Download file

File details Programming language:
The malware program was written in MS Visual C++.

See a brief description here.

Inserted by Andrei Ivanes on Tue, 29 Aug 2006 11:25 (GMT+1)
Updated by Andrei Ivanes on Tue, 29 Aug 2006 15:38 (GMT+1)

« Back

TR/Dldr.EbayBill.H - Trojan

Latest News