Besoin d’aide ? Fais appel à la communauté ou embauche un spécialiste.
Aller à Avira Answers
Nom:TR/Spy.ZBot.xaxn
La date de la dcouverte:30/09/2013
Type:Cheval de Troie
Sous type:Spy
En circulation:Non
Infections signales Faible
Potentiel de distribution:Faible
Potentiel de destruction:Faible
Taille du fichier:91861 Octets
Somme de contrle MD5:4c89ed49b3a334bdfea59d0c4c6a514e
Version VDF:7.11.105.54 - lundi 30 septembre 2013
Version IVDF:7.11.105.54 - lundi 30 septembre 2013

 Gnral Mthode de propagation:
   • Il ne possde pas de propre routine de propagation


Les alias:
   •  Kaspersky: Trojan-PSW.Win32.Fareit.albl
   •  Sophos: Mal/Generic-S
   •  Bitdefender: Trojan.GenericKDV.1306124
     Microsoft: Trojan:Win32/Matsnu.L
     AVG: Generic35.AMA
   •  Eset: Win32/Trustezeb.E.trojan
     GData: Trojan.GenericKDV.1306124
     DrWeb: Trojan.Inject.27909


Plateformes / Systmes d'exploitation:
   • Windows 2000
   • Windows XP
   • Windows 2003
    Windows Vista
    Windows Server 2008
    Windows 7


Effets secondaires:
   • Il modifie des registres

 Fichiers Il s'autocopie dans l'emplacement suivant:
   • %HOME%\Application Data\%chane de caractres alatoire de quatre digits%\%chane de caractres alatoire%.exe

– Un fichier qui est pour l'utilisation temporaire et qui peut tre supprimer aprs:
   • %temp%\%chane de caractres alatoire%.pre

 Registre On ajoute une des valeurs suivantes afin de lancer le processus aprs le redmarrage:

  [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "%chane de caractres alatoire%"="%HOME%\Application Data\%chane de caractres alatoire%\%chane de caractres alatoire%.exe"



Les cls de registre suivantes sont ajoutes afin de charger le service aprs le redmarrage:

[HKLM\SYSTEM\ControlSet001\Control\Session Manager]
   • "PendingFileRenameOperations"="\??\%HOME%\%chane de caractres alatoire%.pre"



Les cls de registre suivantes sont ajoute:

[HKLM\SYSTEM\ControlSet001\Control\DeviceClasses\
   {378de44c-56ef-11d1-bc8c-00a0c91405dd}\
   #?#HID#Vid_0e0f&Pid_0003&MI_00#7&1b1a3d13&0&0000#{378de44c-56ef-11d1-bc8c-00a0c91405dd}\
   #\Control]
   • "Linked"="dword:0x00000000"

[HKLM\SYSTEM\ControlSet001\Control\DeviceClasses\
   {378de44c-56ef-11d1-bc8c-00a0c91405dd}\
   #?#HID#Vid_0e0f&Pid_0003&MI_00#7&1b1a3d13&0&0000#{378de44c-56ef-11d1-bc8c-00a0c91405dd}\
   Control]
   • "ReferenceCount"="dword:0x00000000"

[HKLM\SYSTEM\ControlSet001\Control\DeviceClasses\
   {378de44c-56ef-11d1-bc8c-00a0c91405dd}\
   #?#HID#Vid_0e0f&Pid_0003&MI_01#7&356b0ce&0&0000#{378de44c-56ef-11d1-bc8c-00a0c91405dd}\
   #\Control]
   • "Linked"="dword:0x00000000"

[HKLM\SYSTEM\ControlSet001\Control\DeviceClasses\
   {378de44c-56ef-11d1-bc8c-00a0c91405dd}\
   #?#HID#Vid_0e0f&Pid_0003&MI_01#7&356b0ce&0&0000#{378de44c-56ef-11d1-bc8c-00a0c91405dd}\
   Control]
   • "ReferenceCount"="dword:0x00000000"

[HKLM\SYSTEM\ControlSet001\Control\DeviceClasses\
   {4d1e55b2-f16f-11cf-88cb-001111000030}\
   #?#HID#Vid_0e0f&Pid_0003&MI_00#7&1b1a3d13&0&0000#{4d1e55b2-f16f-11cf-88cb-001111000030}\
   #\Control]
   • "Linked"="dword:0x00000000"

[HKLM\SYSTEM\ControlSet001\Control\DeviceClasses\
   {4d1e55b2-f16f-11cf-88cb-001111000030}\
   #?#HID#Vid_0e0f&Pid_0003&MI_00#7&1b1a3d13&0&0000#{4d1e55b2-f16f-11cf-88cb-001111000030}\
   Control]
   • "ReferenceCount"="dword:0x00000000"

[HKLM\SYSTEM\ControlSet001\Control\DeviceClasses\
   {4d1e55b2-f16f-11cf-88cb-001111000030}\
   #?#HID#Vid_0e0f&Pid_0003&MI_01#7&356b0ce&0&0000#{4d1e55b2-f16f-11cf-88cb-001111000030}\
   #\Control]
   • "Linked"="dword:0x00000000"

[HKLM\SYSTEM\ControlSet001\Control\DeviceClasses\
   {4d1e55b2-f16f-11cf-88cb-001111000030}\
   #?#HID#Vid_0e0f&Pid_0003&MI_01#7&356b0ce&0&0000#{4d1e55b2-f16f-11cf-88cb-001111000030}\
   Control]
   • "ReferenceCount"="dword:0x00000000"

[HKLM\SYSTEM\ControlSet001\Control\DeviceClasses\
   {a5dcbf10-6530-11d2-901f-00c04fb951ed}\
   #?#USB#Vid_0e0f&Pid_0003#5&1f8fd7d0&0&1#{a5dcbf10-6530-11d2-901f-00c04fb951ed}\
   #\Control]
   • "Linked"="dword:0x00000000"

[HKLM\SYSTEM\ControlSet001\Control\DeviceClasses\
   {a5dcbf10-6530-11d2-901f-00c04fb951ed}\
   #?#USB#Vid_0e0f&Pid_0003#5&1f8fd7d0&0&1#{a5dcbf10-6530-11d2-901f-00c04fb951ed}\
   Control]
   • "ReferenceCount"="dword:0x00000000"

[HKLM\SYSTEM\ControlSet001\Control\DeviceClasses\
   {f18a0e88-c30c-11d0-8815-00a0c906bed8}\
   #?#USB#Vid_0e0f&Pid_0002#5&1f8fd7d0&0&2#{f18a0e88-c30c-11d0-8815-00a0c906bed8}\
   #\Control]
   • "Linked"="dword:0x00000000"

[HKLM\SYSTEM\ControlSet001\Control\DeviceClasses\
   {f18a0e88-c30c-11d0-8815-00a0c906bed8}\
   #?#USB#Vid_0e0f&Pid_0002#5&1f8fd7d0&0&2#{f18a0e88-c30c-11d0-8815-00a0c906bed8}\
   Control]
   • "ReferenceCount"="dword:0x00000000"



Les cls de registre suivantes sont changes:

[HKLM\SYSTEM\ControlSet001\Services\HidUsb\Enum]
   L'ancienne valeur:
   • "Count"=dword:00000002
   • "NextInstance"=dword:00000002
   La nouvelle valeur:
   • "Count"="dword:0x00000000"
   • "NextInstance"="dword:0x00000000"

[HKLM\SYSTEM\ControlSet001\Services\Mouclass\Enum]
   L'ancienne valeur:
   • "Count"=dword:00000004
   • "NextInstance"=dword:00000004
   La nouvelle valeur:
   • "Count"="dword:0x00000002"
   • "NextInstance"="dword:0x00000002"

[HKLM\SYSTEM\ControlSet001\Services\mouhid\Enum]
   L'ancienne valeur:
   • "Count"=dword:00000002
   • "NextInstance"=dword:00000002
   La nouvelle valeur:
   • "Count"="dword:0x00000000"
   • "NextInstance"="dword:0x00000000"

[HKLM\SYSTEM\ControlSet001\Services\RemoteAccess\Performance]
   L'ancienne valeur:
   • "Error Count"=dword:00000012
   La nouvelle valeur:
   • "Error Count"="dword:0x0000026d"

[HKLM\SYSTEM\ControlSet001\Services\usbccgp\Enum]
   L'ancienne valeur:
   • "Count"=dword:00000001
   • "NextInstance"=dword:00000001
   La nouvelle valeur:
   • "Count"="dword:0x00000000"
   • "NextInstance"="dword:0x00000000"

[HKLM\SYSTEM\ControlSet001\Services\usbhub\Enum]
   L'ancienne valeur:
   • "Count"=dword:00000002
   • "NextInstance"=dword:00000002
   La nouvelle valeur:
   • "Count"="dword:0x00000001"
   • "NextInstance"="dword:0x00000001"

 L'injection du code viral dans d'autres processus     Un des processus suivants::
   • svchost.exe
   • winlogon.exe


 Informations divers Connexion Internet:
Afin de vrifier sa connexion Internet, le serveur DNS suivant est contact:
   • micnet**********100.com

 Dtails de fichier Langage de programmation:
Le fichier a t crit en MS Visual C++.

Description insérée par Wensin Lee le mardi 1 octobre 2013
Description mise à jour par Wensin Lee le mardi 1 octobre 2013

Retour . . . .
https:// Cet écran est crypté pour votre sécurité.