Nom:TR/FakeScanner.ziu
La date de la découverte:12/11/2008
Type:Cheval de Troie
En circulation:Non
Infections signalées Faible
Potentiel de distribution:Faible
Potentiel de destruction:Faible a moyen
Fichier statique:Oui
Taille du fichier:899.024 Octets
Somme de contrôle MD5:958feedf34cba174a85f4f58bb65955a
Version VDF:7.01.00.70
Version IVDF:7.01.00.77 - jeudi 13 novembre 2008

 Général Méthode de propagation:
   • Il ne possède pas de propre routine de propagation


Les alias:
   •  Eset: Win32/Genetik
   •  Bitdefender: Trojan.Generic.969530


Plateformes / Systèmes d'exploitation:
   • Windows 96
   • Windows 99
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003


Effets secondaires:
   • Il télécharge un fichier
   • Il modifie des registres


Immédiatement après l'exécution l'information suivante est affichée:


 Fichiers Il s'autocopie dans l'emplacement suivant:
   • %PROGRAM FILES%\PCPrivacyCleaner\pcpc.exe



Il crée le répertoire suivant:
   • %PROGRAM FILES%\PCPrivacyCleaner



Les fichiers suivants sont créés:

– %le dossier d'exécution du malware%\PCPrivacyCleaner.lnk
– %ALLUSERSPROFILE%\Start Menu\Programs\PCPrivacyCleaner\PCPrivacyCleaner.lnk
– %ALLUSERSPROFILE%\Start Menu\Programs\PCPrivacyCleaner\Uninstall PCPrivacyCleaner.lnk
– %home%\Application Data\Microsoft\Internet Explorer\Quick Launch\PCPrivacyCleaner.lnk
– %home%\Application Data\PCPrivacyCleaner\Logs\scns.txt



Il essaie de télécharger un ficher:

– L'emplacement est le suivant:
   • http://www.instlog.pcprivacycleaner.com/**********
Ce fichier peut contenir d'autres emplacements de téléchargement et pourrait servir comme source à de nouvelles menaces.

 Registre La clé de registre suivante est ajoutée afin de lancer le processus après le redémarrage:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • PCPrivacyCleaner="%PROGRAM FILES%\PCPrivacyCleaner\pcpc.exe"



Les clés de registre suivantes sont ajoutée:

– [HKLM\SOFTWARE\PCPrivacyCleaner]
   • "LicenseAccepted"=hex:01
   • "InstallDate"=%valeurs hexa%
   • "ActivationCode"=%valeurs hexa%
   • "Version"=%valeurs hexa%
   • "LastScanTime"=%valeurs hexa%
   • "TotalScanCount"=%valeurs hexa%

– [HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\
   PCPrivacyCleaner]
   • DisplayName="PCPrivacyCleaner"
   • UninstallString=""%PROGRAM FILES%\PCPrivacyCleaner\pcpc.exe" -uninstall"
   • NoModify=dword:00000001

– [HKLM\Software\{65DE966D-11D1-4bb1-BF7E-B8A273514DAF}]
   • Version=hex:33,50,5f,55,50,43,50,43,53,45

 Informations divers Mutex:
Il crée le Mutex suivant:
   • PCPrivacyCleaner%valeurs hexa%-%valeurs hexa%-%valeurs hexa%-%valeurs hexa%-%valeurs hexa%

 Détails de fichier Langage de programmation:
 Le fichier a été écrit en MS Visual C++.


Logiciel de compression des fichiers exécutables:
Pour entraver la détection et pour réduire la taille du fichier il est compressé avec le logiciel de compression des exécutables suivant:
   • AS Pack

Description insérée par Monica Ghitun le mardi 16 décembre 2008
Description mise à jour par Monica Ghitun le mardi 16 décembre 2008

Retour . . . .