Besoin d’aide ? Fais appel à la communauté ou embauche un spécialiste.
Aller à Avira Answers
Nom:TR/VB.aga.168
La date de la dcouverte:21/06/2011
Type:Cheval de Troie
En circulation:Oui
Infections signales Faible a moyen
Potentiel de distribution:Faible
Potentiel de destruction:Faible a moyen
Fichier statique:Oui
Taille du fichier:47.104 Octets
Somme de contrle MD5:79d5ea6fa8208fd76edfc9b99df1c280
Version VDF:7.11.10.61 - mardi 21 juin 2011
Version IVDF:7.11.10.61 - mardi 21 juin 2011

 Gnral Les alias:
   •  Kaspersky: Backdoor.Win32.VB.nmc
   •  Sophos: Troj/VBAgent-G
   •  Bitdefender: Trojan.VB.Agent.JD
     GData: Trojan.VB.Agent.JD


Plateformes / Systmes d'exploitation:
   • Windows 2000
   • Windows XP
   • Windows 2003


Effets secondaires:
   • Il cre des fichiers malveillants
   • Il modifie des registres
   • Il emploie les vulnrabilits de software
CVE-2007-1204
MS07-019

 Fichiers Il s'autocopie dans l'emplacement suivant:
   • %TEMPDIR%\fv3m.exe



Il crase un fichier.
%SYSDIR%\drivers\etc\hosts



Il supprime sa propre copie, excute initialement



Il supprime le fichier suivant:
   • %TEMPDIR%\mdinstall.inf



Les fichiers suivants sont crs:

%TEMPDIR%\mdinstall.inf Ceci est un fichier texte non malveillant avec le contenu suivant:
   • %code faisant fonctionner les logiciels malveillants%

%TEMPDIR%\MouseDriver.bat
%TEMPDIR%\c4ib5fma.bat



Il essaie dexcuter les fichiers suivants :

Nom de fichier: Noms des fichiers:
   • net.exe stop "Security Center"


Nom de fichier: Noms des fichiers:
   • %TEMPDIR%\fv3m.exe -d67746A804C8B11CEF203745371351E1B9D084232D9BBAD64D7BB166011C729413549C7DAE39F451B6F1BB7187B458CA4AB6804ECC863401CFFC6037F255A61133178EA4539310CE0C180CC8B1CE7060C291ECB87BB0A999963D188E07D899F19ACFBDFCD2739DC6C884ED285FC3F91C406BBC2F129724


Nom de fichier: Noms des fichiers:
   • "%SYSDIR%\grpconv.exe" -o


Nom de fichier: Noms des fichiers:
   • sc config wscsvc start= DISABLED


Nom de fichier: Noms des fichiers:
   • net.exe stop "Windows Firewall/Internet Connection Sharing (ICS)"


Nom de fichier: Noms des fichiers:
   • sc config SharedAccess start= DISABLED


Nom de fichier: Noms des fichiers:
   • net1 stop "Security Center"


Nom de fichier: Noms des fichiers:
   • %TEMPDIR%\fv3m.exe


Nom de fichier: Noms des fichiers:
   • net1 stop "Windows Firewall/Internet Connection Sharing (ICS)"


Nom de fichier: Noms des fichiers:
   • Rundll32.exe setupapi,InstallHinfSection DefaultInstall 128 %TEMPDIR%\mdinstall.inf


Nom de fichier: Noms des fichiers:
   • cmd /c %TEMPDIR%\c4ib5fma.bat

 Registre La cl de registre suivante est ajoute afin de lancer le processus aprs le redmarrage:

[HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\
   Run]
   • "5uadx90"="%TEMPDIR%\fv3m.exe"



La cl de registre suivante est ajoute:

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]
   • "GrpConv"=""



Les cls de registre suivantes sont changes:

[HKCU\Software\Microsoft\Windows\CurrentVersion\GrpConv]
   La nouvelle valeur:
   • "Log"="Uninit Application."

[HKLM\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command]
   La nouvelle valeur:
   • "@"="%SYSDIR%\grpconv.exe %1"

[HKLM\SOFTWARE\Classes\MSProgramGroup]
   La nouvelle valeur:
   • "@"="Microsoft Program Group"

[HKLM\SOFTWARE\Classes\.grp]
   La nouvelle valeur:
   • "@"="MSProgramGroup"

 Htes Le fichier hte est modifi, comme il est expliqu:

Dans ce cas les entres existantes sont crases

L'accs au lien URL suivant est redirig vers une autre destination :
   • 127.0.0.1 localhost


 Porte drobe Serveur de contact:
Le suivant:
   • http://w.nucleardiscover.com:888/**********?c=%chai?ne de caracte?res%&v=%nombre%&t=%chai?ne de caracte?res%


 Informations divers Mutex:
Il cre les Mutex suivants:
   • fv3m.exe5uadx90
   • fv3m.exe5uadx90dmode

 Dtails de fichier Langage de programmation:
Le fichier a t crit en Visual Basic.


Logiciel de compression des fichiers excutables:
Afin d'entraver la dtection et de rduire la taille du fichier il est compress avec un logiciel de compression des excutables.

Description insérée par Petre Galan le jeudi 14 juillet 2011
Description mise à jour par Petre Galan le jeudi 14 juillet 2011

Retour . . . .
https:// Cet écran est crypté pour votre sécurité.