TR/Dldr.Agen.xa.1.B - Trojan

A voir aussi

Brève description

Description complète

Statistiques

Nom:	TR/Dldr.Agen.xa.1.B
La date de la découverte:	19/10/2005
Type:	Cheval de Troie
Sous type:	Downloader
En circulation:	Non
Infections signalées	Faible
Potentiel de distribution:	Faible
Potentiel de destruction:	Faible a moyen
Fichier statique:	Oui
Taille du fichier:	28.160 Octets
Somme de contrôle MD5:	809B4BC6E0CB8202DACF522CC36FA5E0
Version VDF:	6.32.00.95

Général Méthode de propagation:
   • Il ne possède pas de propre routine de propagation

Les alias:
   • TrendMicro: TROJ_SPYWAD.J
   • Bitdefender: Trojan.Hoax.Renos.P

Plateformes / Systèmes d'exploitation:
   • Windows 96
   • Windows 99
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effets secondaires:
   • Il télécharge un fichier
   • Il modifie des registres

Immédiatement après l'exécution l'information suivante est affichée:

Fichiers Il s'autocopie dans l'emplacement suivant:
   • %lecteur système racine%\winstall.exe

Les fichiers suivants sont créés:

– Fichier inoffensif:
   • %WINDIR%\desktop.html

– %PROGRAM FILES%\SpySheriff\base.avd
– %PROGRAM FILES%\SpySheriff\base001.avd
– %PROGRAM FILES%\SpySheriff\base002.avd
– %PROGRAM FILES%\SpySheriff\found.wav
– %PROGRAM FILES%\SpySheriff\heur000.dll
– %PROGRAM FILES%\SpySheriff\heur001.dll
– %PROGRAM FILES%\SpySheriff\heur002.dll
– %PROGRAM FILES%\SpySheriff\heur003.dll
– %PROGRAM FILES%\SpySheriff\IESecurity.dll
– %PROGRAM FILES%\SpySheriff\notfound.wav
– %PROGRAM FILES%\SpySheriff\ProcMon.dll
– %PROGRAM FILES%\SpySheriff\removed.wav
– %PROGRAM FILES%\SpySheriff\SpySheriff.exe
– %PROGRAM FILES%\SpySheriff\Uninstall.exe
– %PROGRAM FILES%\SpySheriff\SpySheriff.dvm

Il essaie de télécharger un ficher:

– L'emplacement est le suivant:
   • http://www.**********sheriff.com/trial.php?rest=%plusieurs nombres aléatoires de 0 à 9%&ver=%plusieurs nombres aléatoires de 0 à 9%&a=00000001
Il est sauvegardé sur le disque dur local à l'emplacement: %home%\Application Data\Install.dat

Registre Les clés de registre suivantes sont ajoutées afin d'exécuter des processus après le redémarrage:

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "Windows installer"="%lecteur système racine%\winstall.exe"
   • "SNInstall"="%le dossier d'exécution du malware%\%le fichier exécuté%"

La valeur de la clé de registre suivante est supprimée:

– [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer]
   • NoDesktop

La clé de registre suivante, y compris toutes les valeurs et les sous-clés, est enlevée.
   • [HKCU\SOFTWARE\Install]

Les clés de registre suivantes sont ajoutée:

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\
   ActiveDesktop]
   • "NoChangingWallpaper"=dword:00000000
   • "NoComponents"=dword:00000000
   • "NoAddingComponents"=dword:00000000
   • "NoDeletingComponents"=dword:00000000
   • "NoEditingComponents"=dword:00000000
   • "NoHTMLWallPaper"=dword:00000000

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
   • "NoActiveDesktop"=dword:00000000
   • "ClassicShell"=dword:00000000
   • "ForceActiveDesktopOn"=dword:00000001

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System]
   • "Wallpaper"="%WINDIR%\desktop.html"

Les clés de registre suivantes sont changées:

– [HKCU\Software\Microsoft\Internet Explorer\Desktop\General]
   L'ancienne valeur:
   • "WallpaperFileTime"=%réglages définis par l'utilisateur%
   • "WallpaperLocalFileTime"=%réglages définis par l'utilisateur%
   • "TileWallpaper"=%réglages définis par l'utilisateur%
   • "WallpaperStyle"=%réglages définis par l'utilisateur%
   • "ComponentsPositioned"=%réglages définis par l'utilisateur%
   La nouvelle valeur:
   • "WallpaperFileTime"=%valeurs hexa%
   • "WallpaperLocalFileTime"=%valeurs hexa%
   • "TileWallpaper"="0"
   • "WallpaperStyle"="2"
   • "ComponentsPositioned"=dword:00000002

– [HKCU\Software\Microsoft\Internet Explorer\Desktop\Components]
   L'ancienne valeur:
   • "DeskHtmlVersion"=%réglages définis par l'utilisateur%
   • "DeskHtmlMinorVersion"=%réglages définis par l'utilisateur%
   • "Settings"=%réglages définis par l'utilisateur%
   • "GeneralFlags"=%réglages définis par l'utilisateur%
   La nouvelle valeur:
   • "DeskHtmlVersion"=dword:00000110
   • "DeskHtmlMinorVersion"=dword:00000005
   • "Settings"=dword:00000001
   • "GeneralFlags"=dword:00000004

– [HKCU\Software\Microsoft\Internet Explorer\Desktop\Components\0]
   L'ancienne valeur:
   • "Source"=%réglages définis par l'utilisateur%
   • "SubscribedURL"=%réglages définis par l'utilisateur%
   • "FriendlyName"=%réglages définis par l'utilisateur%
   • "Flags"=%réglages définis par l'utilisateur%
   • "Position"=%réglages définis par l'utilisateur%
   • "CurrentState"=%réglages définis par l'utilisateur%
   • "OriginalStateInfo"=%réglages définis par l'utilisateur%
   • "RestoredStateInfo"=%réglages définis par l'utilisateur%
   La nouvelle valeur:
   • "Source"="About:Home"
   • "SubscribedURL"="About:Home"
   • "FriendlyName"="My Current Home Page"
   • "Flags"=dword:00000002
   • "Position"=%valeurs hexa%
   • "CurrentState"=dword:40000004
   • "OriginalStateInfo"=%valeurs hexa%
   • "RestoredStateInfo"=%valeurs hexa%

– [HKCU\Control Panel\Desktop]
   L'ancienne valeur:
   • "TileWallpaper"=%réglages définis par l'utilisateur%
   • "WallpaperStyle"=%réglages définis par l'utilisateur%
   • "Pattern"=%réglages définis par l'utilisateur%
   La nouvelle valeur:
   • "TileWallpaper"="0"
   • "WallpaperStyle"="2"
   • "Pattern"=""

Détails de fichier Langage de programmation:
Le fichier a été écrit en MS Visual C++.

Voir la description brève ici.

Description inséré par Andrei Gherman sur Mon, 24 Oct 2005 10:21 (GMT+1)
Description mise à jour par Andrei Gherman sur Tue, 25 Oct 2005 15:59 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Retour