Besoin d’aide ? Fais appel à la communauté ou embauche un spécialiste.
Aller à Avira Answers
Nom:TR/Dldr.VB.acyt
La date de la découverte:16/02/2011
Type:Cheval de Troie
Sous type:Downloader
En circulation:Oui
Infections signalées Faible a moyen
Potentiel de distribution:Faible
Potentiel de destruction:Faible a moyen
Fichier statique:Oui
Taille du fichier:131.072 Octets
Somme de contrôle MD5:e236663e37905f7cdbb3b7c1b3535c2b
Version VDF:7.10.08.215
Version IVDF:7.11.03.121 - mercredi 16 février 2011

 Général Les alias:
   •  Kaspersky: Trojan-Downloader.Win32.VB.acyt
   •  Bitdefender: Trojan.Generic.KD.87975
   •  Panda: Trj/SpyEyes.E
   •  GData: Trojan.Generic.KD.87975


Plateformes / Systèmes d'exploitation:
   • Windows 2000
   • Windows XP
   • Windows 2003


Effets secondaires:
   • Il crée des fichiers malveillants
   • Il modifie des registres
   • Il vole de l'information

 Fichiers Il s'autocopie dans l'emplacement suivant:
   • C:\abibasdsvd.exe\abibasdsvd.exe



Il supprime sa propre copie, exécutée initialement



Le fichier suivant est créé:

– C:\abibasdsvd.exe\config.bin



Il essaie d’exécuter le fichier suivant :

– Nom de fichier: Noms des fichiers:
   • C:\abibasdsvd.exe\abibasdsvd.exe

 Registre La clé de registre suivante est ajoutée afin de lancer le processus après le redémarrage:

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "abibasdsvd.exe"="C:\abibasdsvd.exe\abibasdsvd.exe"



Les clés de registre suivantes sont ajoutée:

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\
   Zones\0]
   • "1409"=dword:0x00000003

– [HKCU\Software\Microsoft\Internet Explorer\PhishingFilter]
   • "ShownServiceDownBalloon"=dword:0x00000000

– [HKCU\Software\Microsoft\Internet Explorer\Recovery]
   • "ClearBrowsingHistoryOnExit"=dword:0x00000000



Les clés de registre suivantes sont changées:

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\
   Zones\1]
   La nouvelle valeur:
   • "1406"=dword:0x00000000
   • "1409"=dword:0x00000003
   • "1609"=dword:0x00000000

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\
   Zones\0]
   La nouvelle valeur:
   • "1406"=dword:0x00000000
   • "1609"=dword:0x00000000

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\
   Zones\2]
   La nouvelle valeur:
   • "1406"=dword:0x00000000
   • "1409"=dword:0x00000003
   • "1609"=dword:0x00000000

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\
   Lockdown_Zones\4]
   La nouvelle valeur:
   • "1406"=dword:0x00000000

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\
   Lockdown_Zones\1]
   La nouvelle valeur:
   • "1406"=dword:0x00000000

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\
   Lockdown_Zones\2]
   La nouvelle valeur:
   • "1406"=dword:0x00000000

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\
   Lockdown_Zones\3]
   La nouvelle valeur:
   • "1406"=dword:0x00000000

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\
   Zones\3]
   La nouvelle valeur:
   • "1406"=dword:0x00000000
   • "1409"=dword:0x00000003
   • "1609"=dword:0x00000000

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\
   Zones\4]
   La nouvelle valeur:
   • "1406"=dword:0x00000000
   • "1409"=dword:0x00000003
   • "1609"=dword:0x00000000

– [HKCU\Software\Microsoft\Internet Explorer\PhishingFilter]
   La nouvelle valeur:
   • "EnabledV8"=dword:0x00000000

 Porte dérobée Serveur de contact:
Le suivant:
   • http://www.analservice.eu/helper/**********?guid=%chaîne de caractères%&ver=%nombre%&stat=%chaîne de caractères%&ie=%chaîne de caractères%&os=%chaîne de caractères%&ut=%chaîne de caractères%&cpu=%nombre%&ccrc=%chaîne de caractères%&md5=%chaîne de caractères%



Il envoie de l'information au sujet de:
    • Nom de l'ordinateur
    • Type de CPU
    • Le statut courant du malware
    • Nom d'utilisateur
    • Information sur le système d'exploitation Windows

 Vol d'informations Il essaie de voler l'information suivante:
– Les mots de passe employés par la fonction AutoComplete

– Le mot de passe du programme suivant:
   • Mozilla Firefox

 L'injection du code viral dans d'autres processus – Il s'injecte comme un nouveau fil d'exécution à distance dans un processus.

    Nom du processus :
   • explorer.exe


Il est injecté à tous les processus.


 Informations divers  Il vérifie l'existence d'une connexion Internet en contactant le site web suivant:
   • http://www.microsoft.com/


Mutex:
Il crée les Mutex suivants:
   • __fdbnfd__
   • __SPYNET_REPALREADYSENDED__

 Détails de fichier Logiciel de compression des fichiers exécutables:
Afin d'entraver la détection et de réduire la taille du fichier il est compressé avec un logiciel de compression des exécutables.

Description insérée par Petre Galan le jeudi 7 juillet 2011
Description mise à jour par Andrei Ivanes le vendredi 15 juillet 2011

Retour . . . .
https:// Cet écran est crypté pour votre sécurité.