Besoin d’aide ? Fais appel à la communauté ou embauche un spécialiste.
Aller à Avira Answers
Nom:TR/Agent.86016
La date de la découverte:14/11/2006
Type:Cheval de Troie
En circulation:Oui
Infections signalées Faible a moyen
Potentiel de distribution:Faible a moyen
Potentiel de destruction:Moyen
Fichier statique:Oui
Taille du fichier:85.304 Octets
Somme de contrôle MD5:b33fd2986984b06065b21712d6385b9a
Version VDF:6.36.01.22 - mardi 14 novembre 2006
Version IVDF:6.36.01.22 - mardi 14 novembre 2006

 Général Méthodes de propagation:
   • Fonctionnalité d'exécution automatique
   • Programme de messagerie


Les alias:
   •  Kaspersky: Trojan.Win32.Menti.glsd
   •  Bitdefender: Trojan.Generic.KD.227298
   •  GData: Trojan.Generic.KD.227298
   •  DrWeb: Trojan.Packed.21648


Plateformes / Systèmes d'exploitation:
   • Windows 2000
   • Windows XP
   • Windows 2003


Effets secondaires:
   • Il facilite l'accès non autorisé à l'ordinateur
   • Il crée des fichiers malveillants
   • Il modifie des registres
   • Il vole de l'information

 Fichiers Il s'autocopie dans les emplacements suivants:
   • %lecteur%\RECYCLER\Cwtstu.exe
   • %HOME%\Application Data\Cwtstu.exe



Il supprime sa propre copie, exécutée initialement



Le fichier suivant est créé:

%lecteur%\autorun.inf Ceci est un fichier texte non malveillant avec le contenu suivant:
   • %code faisant fonctionner les logiciels malveillants%




Il essaie d’exécuter le fichier suivant :

– Nom de fichier: Noms des fichiers:
   • %HOME%\Application Data\Cwtstu.exe

 Registre La clé de registre suivante est ajoutée afin de lancer le processus après le redémarrage:

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "Cwtstu"="%HOME%\Application Data\Cwtstu.exe"

 Programme de messagerie Il se répand par l'intermédiaire du programme de messagerie. Les caractéristiques sont décrites ci-dessous:

– Windows Messenger

Le URL se rapporte alors à une copie du malware décrit. Si l'utilisateur télécharge et exécute ce fichier le procédé d'infection commencera encore.

 IRC Afin de fournir des informations sur le système et d'accès à distance, il se connecte aux serveurs IRC suivants:

Serveur: ng.the**********.com
Port: 3800

Serveur: ng.mar**********.com
Port: 3800

Serveur: ng.gra**********.com
Port: 3800

Serveur: ng.lig**********.com
Port: 3800

Serveur: ng.coa**********.com
Port: 3800

 Vol d'informations Il essaie de voler l'information suivante:
– Les mots de passe tapé dans les champs 'insérer le mot de passe'

– Une routine de journalisation est commencée après qu'un site web soit visité, qui contient une des sous chaînes de caractères suivantes dans l'URL.
   • *officebanking.cl/*login.asp*; *secure.logmein.*/*logincheck*;
      *megaupload.*/*login; *fileserve.*/login*; *twitter.com/sessions;
      *.alertpay.*/*login.aspx; *.moneybookers.*/*login.pl;
      *runescape*/*weblogin*; *dyndns*/account*; *steampowered*/login*;
      *hackforums.*/member.php; *facebook.*/login.php*;
      *login.yahoo.*/*login*; *login.live.*/*post.srf*; *gmx.*/*FormLogin*;
      *fastmail.*/mail/*; *bigstring.*/*index.php*;
      *screenname.aol.*/login.psp*; *aol.*/*login.psp*;
      *google.*/*ServiceLoginAuth*; *paypal.*/webscr?cmd=_login-submit*

 L'injection du code viral dans d'autres processus – Il s'injecte comme un nouveau fil d'exécution à distance dans un processus.

Il est injecté à tous les processus.


 Informations divers Accède à des ressources Internet :
   • http://api.wip**********.com/


Mutex:
Il crée le Mutex suivant:
   • djQPssJO4SAQzkgw

 Détails de fichier Langage de programmation:
Le fichier a été écrit en MS Visual C++.


Logiciel de compression des fichiers exécutables:
Afin d'entraver la détection et de réduire la taille du fichier il est compressé avec un logiciel de compression des exécutables.

Description insérée par Petre Galan le mardi 5 juillet 2011
Description mise à jour par Petre Galan le mardi 5 juillet 2011

Retour . . . .
https:// Cet écran est crypté pour votre sécurité.