Nom:DR/MyWebSearch.AU
La date de la découverte:04/03/2008
Type:Dropper
En circulation:Non
Infections signalées Faible
Potentiel de distribution:Faible
Potentiel de destruction:Faible
Fichier statique:Oui
Taille du fichier:5.115.904 Octets
Somme de contrôle MD5:45a84b7590b49b5828d608fa06dff781
Version IVDF:7.00.02.226 - mardi 4 mars 2008

 Général Méthode de propagation:
   • Il ne possède pas de propre routine de propagation


L'alias:
   •  Kaspersky: not-a-virus:AdTool.Win32.MyWebSearch.au


Plateformes / Systèmes d'exploitation:
   • Windows 99
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003


Effets secondaires:
   • Il crée des fichiers
   • Il crée des fichiers malveillants
   • Il modifie des registres

 Fichiers  Il crée le répertoire suivant:
   • %PROGRAM FILES%\MyWebSearch\bar\



Les fichiers suivants sont créés:

– Fichiers inoffensifs:
   • %PROGRAM FILES%\MyWebSearch\bar\1.bin\F3BKGERR.JPG; %PROGRAM
      FILES%\MyWebSearch\bar\1.bin\F3CJPEG.DLL; %PROGRAM
      FILES%\MyWebSearch\bar\1.bin\F3DTACTL.DLL; %PROGRAM
      FILES%\MyWebSearch\bar\1.bin\F3HISTSW.DLL; %PROGRAM
      FILES%\MyWebSearch\bar\1.bin\F3HTMLMU.DLL; %PROGRAM
      FILES%\MyWebSearch\bar\1.bin\F3HTTPCT.DLL; %PROGRAM
      FILES%\MyWebSearch\bar\1.bin\F3IMSTUB.DLL; %PROGRAM
      FILES%\MyWebSearch\bar\1.bin\F3POPSWT.DLL; %PROGRAM
      FILES%\MyWebSearch\bar\1.bin\F3PSSAVR.SCR; %PROGRAM
      FILES%\MyWebSearch\bar\1.bin\F3REPROX.DLL; %PROGRAM
      FILES%\MyWebSearch\bar\1.bin\F3RESTUB.DLL; %PROGRAM
      FILES%\MyWebSearch\bar\1.bin\F3SCHMON.EXE; %PROGRAM
      FILES%\MyWebSearch\bar\1.bin\F3SCRCTR.DLL; %PROGRAM
      FILES%\MyWebSearch\bar\1.bin\F3SPACER.WMV; %PROGRAM
      FILES%\MyWebSearch\bar\1.bin\F3WALLPP.DAT; %PROGRAM
      FILES%\MyWebSearch\bar\1.bin\FWPBUDDY.PNG; %PROGRAM
      FILES%\MyWebSearch\bar\1.bin\M3FFXTBR.JAR; %PROGRAM
      FILES%\MyWebSearch\bar\1.bin\M3HIGHIN.EXE; %PROGRAM
      FILES%\MyWebSearch\bar\1.bin\M3HTML.DLL; %PROGRAM
      FILES%\MyWebSearch\bar\1.bin\M3IMPIPE.EXE; %PROGRAM
      FILES%\MyWebSearch\bar\1.bin\M3MEDINT.EXE; %PROGRAM
      FILES%\MyWebSearch\bar\1.bin\M3MSG.DLL; %PROGRAM
      FILES%\MyWebSearch\bar\1.bin\M3NTSTBR.JAR; %PROGRAM
      FILES%\MyWebSearch\bar\1.bin\M3OUTLCN.DLL; %PROGRAM
      FILES%\MyWebSearch\bar\1.bin\M3SKPLAY.EXE; %PROGRAM
      FILES%\MyWebSearch\bar\1.bin\M3SLRCH.EXE; %PROGRAM
      FILES%\MyWebSearch\bar\1.bin\M3SRCHMN.EXE; %PROGRAM
      FILES%\MyWebSearch\bar\1.bin\MWSOEPLG.DLL; %PROGRAM
      FILES%\MyWebSearch\bar\1.bin\MWSOESTB.DLL; %PROGRAM
      FILES%\MyWebSearch\bar\1.bin\MWSSVC.EXE; %PROGRAM
      FILES%\MyWebSearch\bar\1.bin\NPMYWEBS.DLL

– %PROGRAM FILES%\MyWebSearch\bar\1.bin\M3NTSTBR.MANIFEST Ceci est un fichier texte non malveillant avec le contenu suivant:
   • content m3ntstbr jar:m3ntstbr.jar!/ xpcnativewrappers=yes
     overlay chrome://browser/content/browser.xul chrome://m3ntstbr/content/menu.xul

– %PROGRAM FILES%\MyWebSearch\bar\1.bin\M3FFXTBR.MANIFEST Ceci est un fichier texte non malveillant avec le contenu suivant:
   • content m3ffxtbr jar:m3ffxtbr.jar!/ xpcnativewrappers=yes
     overlay chrome://browser/content/browser.xul chrome://m3ffxtbr/content/menu.xul

– %SYSDIR%\f3PSSavr.scr Les investigations ultérieures ont prouvé que ce ficher est également un Malware. Détecté comme: ADSPY/MyWebSearch.BQ

– %PROGRAM FILES%\MyWebSearch\bar\1.bin\F3WPHOOK.DLL Les investigations ultérieures ont prouvé que ce ficher est également un Malware. Détecté comme: ADSPY/MyWebSearch.A.50

– %PROGRAM FILES%\MyWebSearch\bar\1.bin\M3PLUGIN.DLL Les investigations ultérieures ont prouvé que ce ficher est également un Malware. Détecté comme: ADSPY/MyWebS.A.60.C

– %PROGRAM FILES%\MyWebSearch\bar\1.bin\M3SKIN.DLL Les investigations ultérieures ont prouvé que ce ficher est également un Malware. Détecté comme: ADSPY/MyWebSearc.AD

– %PROGRAM FILES%\MyWebSearch\bar\1.bin\MWSBAR.DLL Les investigations ultérieures ont prouvé que ce ficher est également un Malware. Détecté comme: ADSPY/MyWebSearc.BA

– %PROGRAM FILES%\MyWebSearch\bar\1.bin\MWSOEMON.EXE Les investigations ultérieures ont prouvé que ce ficher est également un Malware. Détecté comme: ADSPY/MyWebS.A.60.A

 Registre Les clés de registre suivantes sont ajoutée:

– [HKLM\Software\MyWebSearch\bar]
   • Maximized="1"
   • Visible="1"
   • pid2=
   • pid="ZP"
   • fwp="0"
   • un="My Web Search (PopSwatter)"
   • tiec="204880"
   • Dir="%PROGRAM FILES%\MyWebSearch\bar\"

– [HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\
   ElevationPolicy\{59C7FC09-1C83-4648-B3E6-003D2BBC7481}]
   • AppName="m3impipe.exe"
   • AppPath="%PROGRAM FILES%\MyWebSearch\bar\1.bin"
   • Policy=dword:00000003

 Détails de fichier Langage de programmation:
 Le fichier a été écrit en MS Visual C++.

Description insérée par Thomas Wegele le mardi 11 mars 2008
Description mise à jour par Thomas Wegele le mardi 11 mars 2008

Retour . . . .