Besoin d’aide ? Fais appel à la communauté ou embauche un spécialiste.
Aller à Avira Answers
Nom:TR/Dldr.VB.acyt
La date de la dcouverte:16/02/2011
Type:Cheval de Troie
Sous type:Downloader
En circulation:Oui
Infections signales Faible a moyen
Potentiel de distribution:Faible
Potentiel de destruction:Faible a moyen
Fichier statique:Oui
Taille du fichier:131.072 Octets
Somme de contrle MD5:e236663e37905f7cdbb3b7c1b3535c2b
Version VDF:7.10.08.215
Version IVDF:7.11.03.121 - mercredi 16 février 2011

 Gnral Les alias:
   •  Kaspersky: Trojan-Downloader.Win32.VB.acyt
   •  Bitdefender: Trojan.Generic.KD.87975
   •  Panda: Trj/SpyEyes.E
     GData: Trojan.Generic.KD.87975


Plateformes / Systmes d'exploitation:
   • Windows 2000
   • Windows XP
   • Windows 2003


Effets secondaires:
   • Il cre des fichiers malveillants
   • Il modifie des registres
   • Il vole de l'information

 Fichiers Il s'autocopie dans l'emplacement suivant:
   • C:\abibasdsvd.exe\abibasdsvd.exe



Il supprime sa propre copie, excute initialement



Le fichier suivant est cr:

C:\abibasdsvd.exe\config.bin



Il essaie dexcuter le fichier suivant :

Nom de fichier: Noms des fichiers:
   • C:\abibasdsvd.exe\abibasdsvd.exe

 Registre La cl de registre suivante est ajoute afin de lancer le processus aprs le redmarrage:

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "abibasdsvd.exe"="C:\abibasdsvd.exe\abibasdsvd.exe"



Les cls de registre suivantes sont ajoute:

[HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\
   Zones\0]
   • "1409"=dword:0x00000003

[HKCU\Software\Microsoft\Internet Explorer\PhishingFilter]
   • "ShownServiceDownBalloon"=dword:0x00000000

[HKCU\Software\Microsoft\Internet Explorer\Recovery]
   • "ClearBrowsingHistoryOnExit"=dword:0x00000000



Les cls de registre suivantes sont changes:

[HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\
   Zones\1]
   La nouvelle valeur:
   • "1406"=dword:0x00000000
   • "1409"=dword:0x00000003
   • "1609"=dword:0x00000000

[HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\
   Zones\0]
   La nouvelle valeur:
   • "1406"=dword:0x00000000
   • "1609"=dword:0x00000000

[HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\
   Zones\2]
   La nouvelle valeur:
   • "1406"=dword:0x00000000
   • "1409"=dword:0x00000003
   • "1609"=dword:0x00000000

[HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\
   Lockdown_Zones\4]
   La nouvelle valeur:
   • "1406"=dword:0x00000000

[HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\
   Lockdown_Zones\1]
   La nouvelle valeur:
   • "1406"=dword:0x00000000

[HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\
   Lockdown_Zones\2]
   La nouvelle valeur:
   • "1406"=dword:0x00000000

[HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\
   Lockdown_Zones\3]
   La nouvelle valeur:
   • "1406"=dword:0x00000000

[HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\
   Zones\3]
   La nouvelle valeur:
   • "1406"=dword:0x00000000
   • "1409"=dword:0x00000003
   • "1609"=dword:0x00000000

[HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\
   Zones\4]
   La nouvelle valeur:
   • "1406"=dword:0x00000000
   • "1409"=dword:0x00000003
   • "1609"=dword:0x00000000

[HKCU\Software\Microsoft\Internet Explorer\PhishingFilter]
   La nouvelle valeur:
   • "EnabledV8"=dword:0x00000000

 Porte drobe Serveur de contact:
Le suivant:
   • http://www.analservice.eu/helper/**********?guid=%chai?ne de caracte?res%&ver=%nombre%&stat=%chai?ne de caracte?res%&ie=%chai?ne de caracte?res%&os=%chai?ne de caracte?res%&ut=%chai?ne de caracte?res%&cpu=%nombre%&ccrc=%chai?ne de caracte?res%&md5=%chai?ne de caracte?res%



Il envoie de l'information au sujet de:
    • Nom de l'ordinateur
    • Type de CPU
     Le statut courant du malware
     Nom d'utilisateur
     Information sur le systme d'exploitation Windows

 Vol d'informations Il essaie de voler l'information suivante:
 Les mots de passe employs par la fonction AutoComplete

Le mot de passe du programme suivant:
   • Mozilla Firefox

 L'injection du code viral dans d'autres processus Il s'injecte comme un nouveau fil d'excution distance dans un processus.

    Nom du processus :
   • explorer.exe


Il est inject tous les processus.


 Informations divers  Il vrifie l'existence d'une connexion Internet en contactant le site web suivant:
   • http://www.microsoft.com/


Mutex:
Il cre les Mutex suivants:
   • __fdbnfd__
   • __SPYNET_REPALREADYSENDED__

 Dtails de fichier Logiciel de compression des fichiers excutables:
Afin d'entraver la dtection et de rduire la taille du fichier il est compress avec un logiciel de compression des excutables.

Description insérée par Petre Galan le jeudi 7 juillet 2011
Description mise à jour par Andrei Ivanes le vendredi 15 juillet 2011

Retour . . . .
https:// Cet écran est crypté pour votre sécurité.