Besoin d’aide ? Fais appel à la communauté ou embauche un spécialiste.
Aller à Avira Answers
Nom:TR/FakeAV.anm
La date de la dcouverte:14/07/2011
Type:Cheval de Troie
En circulation:Non
Infections signales Faible
Potentiel de distribution:Faible
Potentiel de destruction:Faible a moyen
Fichier statique:Oui
Taille du fichier:524.288 Octets
Somme de contrle MD5:88F32B47676BEA874374EE2CDDF5EE5A
Version VDF:7.11.11.156 - jeudi 14 juillet 2011
Version IVDF:7.11.11.156 - jeudi 14 juillet 2011

 Gnral Les alias:
   •  TrendMicro: TROJ_VUNDO.SMIB
   •  Sophos: Mal/FakeAV-MQ
     Microsoft: Rogue:Win32/FakeRean


Plateformes / Systmes d'exploitation:
   • Windows 2000
   • Windows XP
   • Windows 2003
    Windows Vista
    Windows 7


Effets secondaires:
   • Il cre des fichiers
    Falsley signale une contamination par logiciel malveillant ou des problmes sur le systme et propose l'utilisateur de les rparer, moyennant l'achat de l'application.
   • Il modifie des registres


Immdiatement aprs l'excution l'information suivante est affiche:


 Fichiers Il s'autocopie dans l'emplacement suivant:
   • %HOME%\Local Settings\Application Data\%chane de caractres alatoire%.exe



Il supprime sa propre copie, excute initialement

 Registre On ajoute une valeur chaque cl de registre afin de lancer les processus aprs le redmarrage:

  [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "%chane de caractres alatoire%"="%APPDATA%\%chane de caractres alatoire%.exe"

  [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "ctfmon.exe"="%SYSDIR%\ctfmon.exe"
   • "2806989990"="%HOME%\Local Settings\Application Data\%chane de caractres alatoire%.exe"



Il cre les entres suivantes afin de passer par le Firewall de Windows XP:

[HKLM\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\
   FirewallPolicy\StandardProfile]
   • "EnableFirewall"=dword:00000000
   • "DoNotAllowExceptions"=dword:00000000
   • "DisableNotifications"=dword:00000001

[HKLM\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\
   FirewallPolicy\DomainProfile]
   • "EnableFirewall"=dword:00000000
   • "DoNotAllowExceptions"=dword:00000000
   • "DisableNotifications"=dword:00000001



La cl de registre suivante est ajoute:

[HKCR\.exe\shell\open\command]
   • "(Default)"="\"%HOME%\Local Settings\Application Data\%chane de caractres alatoire%.exe\" -a \"%1\" %*"
   • "IsolatedCommand"="\"%1\" %*"

 Informations divers Accde des ressources Internet:
   • **********owonido.com; **********ijeqipif.com;
      **********ulaxavys.com; **********ihylite.com;
      **********yhudesu.com; **********okelara.com;
      **********ekekejepuvo.com; **********osozupuf.com;
      **********tiroda.com; **********uqaroxos.com;
      **********igijito.com; **********omumehyn.com;
      **********inyfybex.com; **********izesax.com;
      **********rosoft.com; **********ihynybihy.com;
      **********yruqyn.com; **********oloquv.com;
      **********arucukom.com; **********akywuseleri.com;
      **********exyposenebi.com; **********yhixasuhu.com;
      **********ijixiwidaz.com; **********ucyvybumyka.com;
      **********ocyril.com; **********igicigisav.com;
      **********hubolype.com; **********urihezoqe.com;
      **********yvasibi.com; **********yraceke.com;
      **********icofez.com; **********olidejypo.com;
      **********uzyrywovaj.com; **********ecikodovi.com;
      **********uhuziqys.com; **********yvagyxut.com;
      **********unider.com; **********ipijuxoj.com;
      **********apehyni.com; **********ysasowebaty.com;
      **********jajyb.com; **********wiguxake.com;
      **********lyxagesop.com; **********rezaba.com;
      **********icefydyn.com; **********ebelywa.com;
      **********ybilyxu.com; **********aziweboxe.com

 Dtails de fichier Langage de programmation:
Le fichier a t crit en MS Visual C++.

Description insérée par Andrei Ilie le vendredi 7 octobre 2011
Description mise à jour par Andrei Ilie le lundi 10 octobre 2011

Retour . . . .
https:// Cet écran est crypté pour votre sécurité.