ADSPY/PremiumSear.2 - Adware / Spyware

A voir aussi

Brève description

Description complète

Statistiques

Nom:	ADSPY/PremiumSear.2
La date de la découverte:	03/10/2005
Type:	Cheval de Troie
En circulation:	Non
Infections signalées	Faible
Potentiel de distribution:	Faible
Potentiel de destruction:	Faible a moyen
Fichier statique:	Oui
Taille du fichier:	30.208 Octets
Somme de contrôle MD5:	F21056EA283B0AD0424449D770D2CE97
Version VDF:	6.32.00.81

Général Méthode de propagation:
   • Il ne possède pas de propre routine de propagation

L'alias:
   • Mcafee: Adware-CWS.

Plateformes / Systèmes d'exploitation:
   • Windows 96
   • Windows 99
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effets secondaires:
   • Il télécharge un fichier
   • Il crée des fichiers
   • Il crée un fichier malveillant
   • Il modifie des registres

Fichiers Il s'autocopie dans l'emplacement suivant:
   • %SYSDIR%\secserv.exe

Les fichiers suivants sont créés:

– Fichiers inoffensifs:
   • %home%\Favorites\freedating.ico
   • %home%\Favorites\ Free Real-time Dating Service.url
   • %TEMPDIR%\%chaîne de caractères aléatoire%.gif
   • %TEMPDIR%\%chaîne de caractères aléatoire%.gif
   • %TEMPDIR%\%chaîne de caractères aléatoire%.gif
   • %TEMPDIR%\%chaîne de caractères aléatoire%.jpg
   • %TEMPDIR%\%chaîne de caractères aléatoire%.html

– %TEMPDIR%\%chaîne de caractères aléatoire%.dll Les investigations ultérieures ont prouvé que ce ficher est également un Malware. Détecté comme: ADSPY/PremiumSear.1

Il essaie de télécharger un ficher:

– L'emplacement est le suivant:
   • http://premium-search.net/**********/ligbar.so
Il est sauvegardé sur le disque dur local à l'emplacement: %PROGRAM FILES%\google\GoogleToolbar1.dll

Registre La clé suivante est en permanence ajoutée aux registres, dans une boucle infinie, afin de lancer le processus après le redémarrage.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "secserv.exe"="%SYSDIR%\secserv.exe"

Les valeurs des clés de registre suivantes sont supprimées:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • Initial Page
   • ifconfig.exe
   • bootpd.exe
   • Security iGuard

– [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • ifconfig.exe
   • bootpd.exe
   • Security iGuard

La clé de registre suivante est ajoutée:

– [HKCR\CLSID\{5483427F-93B8-1470-5A89-E6B56484CDB2}\InProcServer32]
   • @="%TEMPDIR%\%chaîne de caractères aléatoire%.dll"
   • "ThreadingModel"="Both"

Hôtes Le fichier hôte est modifié, comme il est expliqué:

– Dans ce cas les entrées déjà existantes ne sont pas modifiées.

– L'accès aux liens URL suivants est redirigé vers d'autres destinations :
   • www.google.ae; www.google.am; www.google.as; www.google.at;
      www.google.az; www.google.be; www.google.bi; www.google.ca;
      www.google.cd; www.google.cg; www.google.ch; www.google.ci;
      www.google.cl; www.google.co.cr; www.google.co.hu; www.google.co.il;
      www.google.co.in; www.google.co.je; www.google.co.jp;
      www.google.co.ke; www.google.co.kr; www.google.co.ls;
      www.google.co.nz; www.google.co.th; www.google.co.ug;
      www.google.co.uk; www.google.co.ve; www.google.com; www.google.com.ag;
      www.google.com.ar; www.google.com.au; www.google.com.br;
      www.google.com.co; www.google.com.cu; www.google.com.do;
      www.google.com.ec; www.google.com.fj; www.google.com.gi;
      www.google.com.gr; www.google.com.gt; www.google.com.hk;
      www.google.com.ly; www.google.com.mt; www.google.com.mx;
      www.google.com.my; www.google.com.na; www.google.com.nf;
      www.google.com.ni; www.google.com.np; www.google.com.pa;
      www.google.com.pe; www.google.com.ph; www.google.com.pk;
      www.google.com.pr; www.google.com.py; www.google.com.sa;
      www.google.com.sg; www.google.com.sv; www.google.com.tr;
      www.google.com.tw; www.google.com.ua; www.google.com.uy;
      www.google.com.vc; www.google.com.vn; www.google.de; www.google.dj;
      www.google.dk; www.google.es; www.google.fi; www.google.fm;
      www.google.fr; www.google.gg; www.google.gl; www.google.gm;
      www.google.hn; www.google.ie; www.google.it; www.google.kz;
      www.google.li; www.google.lt; www.google.lu; www.google.lv;
      www.google.mn; www.google.ms; www.google.mu; www.google.mw;
      www.google.nl; www.google.no; www.google.off.ai; www.google.pl;
      www.google.pn; www.google.pt; www.google.ro; www.google.ru;
      www.google.rw; www.google.se; www.google.sh; www.google.sk;
      www.google.sm; www.google.td; www.google.tm; www.google.tt;
      www.google.uz; www.google.vg; google.ae; google.am; google.as;
      google.at; google.az; google.be; google.bi; google.ca; google.cd;
      google.cg; google.ch; google.ci; google.cl; google.co.cr;
      google.co.hu; google.co.il; google.co.in; google.co.je; google.co.jp;
      google.co.ke; google.co.kr; google.co.ls; google.co.nz; google.co.th;
      google.co.ug; google.co.uk; google.co.ve; google.com; google.com.ag;
      google.com.ar; google.com.au; google.com.br; google.com.co;
      google.com.cu; google.com.do; google.com.ec; google.com.fj;
      google.com.gi; google.com.gr; google.com.gt; google.com.hk;
      google.com.ly; google.com.mt; google.com.mx; google.com.my;
      google.com.na; google.com.nf; google.com.ni; google.com.np;
      google.com.pa; google.com.pe; google.com.ph; google.com.pk;
      google.com.pr; google.com.py; google.com.sa; google.com.sg;
      google.com.sv; google.com.tr; google.com.tw; google.com.ua;
      google.com.uy; google.com.vc; google.com.vn; google.de; google.dj;
      google.dk; google.es; google.fi; google.fm; google.fr; google.gg;
      google.gl; google.gm; google.hn; google.ie; google.it; google.kz;
      google.li; google.lt; google.lu; google.lv; google.mn; google.ms;
      google.mu; google.mw; google.nl; google.no; google.off.ai; google.pl;
      google.pn; google.pt; google.ro; google.ru; google.rw; google.se;
      google.sh; google.sk; google.sm; google.td; google.tm; google.tt;
      google.uz; google.vg; search.yahoo.com; ar.search.yahoo.com;
      br.search.yahoo.com; ca.search.yahoo.com; cf.search.yahoo.com;
      mx.search.yahoo.com; espanol.search.yahoo.com; au.search.yahoo.com;
      ct.search.yahoo.com; fr.search.yahoo.com; de.search.yahoo.com;
      it.search.yahoo.com; uk.search.yahoo.com; search.msn.com search.msn.at
      search.sympatico.msn.ca search.msn.co.za search.ninemsn.com.au;
      search.xtramsn.co.nz search.msn.co.uk search.msn.be search.msn.dk
      search.msn.fi search.msn.fr; search.msn.de search.msn.it search.msn.nl
      search.msn.no search.msn.es uk.search.msn.com; search.msn.se
      search.msn.ch search.msn.co.in search.msn.com.sg
      toolbar.search.msn.com; beta.search.msn.com beta.search.msn.at
      beta.search.sympatico.msn.ca beta.search.msn.co.za;
      beta.search.ninemsn.com.au beta.search.xtramsn.co.nz
      beta.search.msn.co.uk beta.search.msn.be; beta.search.msn.dk
      beta.search.msn.fi beta.search.msn.fr beta.search.msn.de
      beta.search.msn.it; beta.search.msn.nl beta.search.msn.no
      beta.search.msn.es beta.search.msn.se beta.search.msn.ch;
      beta.search.msn.co.in beta.search.msn.com.sg auto.search.msn.com;
      www.alexa.com alexa.com

Le fichier hôte modifié ressemblera à ceci:

Informations divers Mutex:
Il crée le Mutex suivant:
• ez-httpgrepdv1F

Détails de fichier Logiciel de compression des fichiers exécutables:
Pour entraver la détection et pour réduire la taille du fichier il est compressé avec le logiciel de compression des exécutables suivant:
• UPX

Voir la description brève ici.

Description inséré par Andrei Gherman sur Mon, 03 Oct 2005 16:12 (GMT+1)
Description mise à jour par Andrei Gherman sur Fri, 14 Oct 2005 15:23 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Retour