TR/Spy.Delf.MQ.2 - Trojan

A voir aussi

Brève description

Description complète

Statistiques

Nom:	TR/Spy.Delf.MQ.2
La date de la découverte:	12/01/2006
Type:	Cheval de Troie
En circulation:	Oui
Infections signalées	Faible
Potentiel de distribution:	Faible
Potentiel de destruction:	Moyen
Fichier statique:	Oui
Taille du fichier:	33.280 Octets
Somme de contrôle MD5:	f15ade3360bb6bd5dc08ac179cdaef49
Version VDF:	6.33.00.114

Général Méthode de propagation:
   • Il ne possède pas de propre routine de propagation

L'alias:
   • Kaspersky: Trojan-Spy.Win32.Delf.mq

Plateformes / Systèmes d'exploitation:
   • Windows 96
   • Windows 99
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effets secondaires:
   • Il bloque l'accès aux sites web de sécurité
   • Il télécharge un fichier
   • Il modifie des registres
   • Il vole de l'information

Fichiers Il s'autocopie dans les emplacements suivants:
   • c:\window\system32\system.exe
   • %SYSDIR%\tmp.bak

Il essaie de télécharger un ficher:

– L'emplacement est le suivant:
   • http://www.**********ucts-gold.net/vers.ini
Il est sauvegardé sur le disque dur local à l'emplacement: c:\tmp.ini Il utilise ce contenu pour modifier le fichier hôte.

Registre La clé de registre suivante est ajoutée afin de lancer le processus après le redémarrage:

– [HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
   • System service = %SYSDIR%\system.exe

La clé de registre suivante est changée:

La page de démarrage d'Internet Explorer:
– [HKCU\Software\Microsoft\Internet Explorer\Main]
   L'ancienne valeur:
   • Start Page = %réglages définis par l'utilisateur%
   La nouvelle valeur:
   • Start Page = http://drc-group.net/vakantn.htm

Hôtes Le fichier hôte est modifié, comme il est expliqué:

– Dans ce cas les entrées existantes sont écrasées

– L'accès aux liens URL suivants est effectivement bloqué :
   • ad.doubleclick.net; ad.fastclick.net; ads.fastclick.net;
      ar.atwola.com; atdmt.com; avp.ch; avp.com; avp.com; avp.ru; awaps.net;
      banner.fastclick.net; banners.fastclick.net; ca.com; ca.com;
      click.atdmt.com; clicks.atdmt.com; customer.symantec.com;
      dispatch.mcafee.com; dispatch.mcafee.com; download.mcafee.com;
      download.mcafee.com; download.mcafee.com; download.microsoft.com;
      downloads.microsoft.com; downloads1.kaspersky-labs.com;
      downloads1.kaspersky-labs.com; downloads1.kaspersky-labs.com/updates;
      downloads2.kaspersky-labs.com; downloads3.kaspersky-labs.com;
      downloads4.kaspersky-labs.com; downloads-us1.kaspersky-labs.com;
      downloads-us2.kaspersky-labs.com; downloads-us3.kaspersky-labs.com;
      engine.awaps.net; fastclick.net; f-secure.com; f-secure.com;
      ftp.avp.ch; ftp.downloads2.kaspersky-labs.com; ftp.f-secure.com;
      ftp.kasperskylab.ru; ftp.sophos.com; go.microsoft.com;
      ids.kaspersky-labs.com; kaspersky.com; kaspersky-labs.com;
      liveupdate.symantec.com; liveupdate.symantec.com;
      liveupdate.symantec.com; liveupdate.symantecliveupdate.com;
      liveupdate.symantecliveupdate.com; mast.mcafee.com; mast.mcafee.com;
      mcafee.com; mcafee.com; media.fastclick.net; msdn.microsoft.com;
      my-etrust.com; my-etrust.com; nai.com; nai.com; networkassociates.com;
      networkassociates.com; office.microsoft.com; phx.corporate-ir.net;
      rads.mcafee.com; secure.nai.com; secure.nai.com;
      securityresponse.symantec.com; securityresponse.symantec.com;
      service1.symantec.com; sophos.com; sophos.com; spd.atdmt.com;
      support.microsoft.com; symantec.com; symantec.com; trendmicro.com;
      update.symantec.com; update.symantec.com; update.symantec.com;
      updates.symantec.com; updates.symantec.com;
      updates1.kaspersky-labs.com; updates1.kaspersky-labs.com;
      updates2.kaspersky-labs.com; updates3.kaspersky-labs.com;
      updates3.kaspersky-labs.com/updates; updates4.kaspersky-labs.com;
      updates5.kaspersky-labs.com; us.mcafee.com; us.mcafee.com;
      vil.nai.com; viruslist.com; viruslist.ru; windowsupdate.microsoft.com;
      www.avp.ch; avp.com; www.avp.com; www.avp.ru; www.awaps.net; ca.com;
      www.ca.com; www.fastclick.net; www.f-secure.com; www.f-secure.com;
      www.grisoft.com; www.kaspersky.com; www.kaspersky.ru; kaspersky.ru;
      www.kaspersky-labs.com; www.mcafee.com; www.mcafee.com;
      www.my-etrust.com; www.my-etrust.com; www.nai.com; www.nai.com;
      www.networkassociates.com; www.networkassociates.com; www.sophos.com;
      www.sophos.com; www.symantec.com; www.symantec.com;
      www.trendmicro.com; www.trendmicro.com; www.viruslist.com;
      www.viruslist.ru; www3.ca.com

– L'accès aux liens URL suivants est redirigé vers d'autres destinations :
   • www.bankone.com; bankone.com; halifax.com; www.halifax.com;
      halifax.co.uk; www.halifax.co.uk; www.bankofamerica.com;
      bankofamerica.com; www.paypal.com; paypal.com; www.lloydstsb.com;
      lloydstsb.com; www.lloydstsb.co.uk; lloydstsb.co.uk; www.bbvanet.com;
      bbvanet.com; www.bancopostaonline.poste.it; bancopostaonline.poste.it;
      www.poste.it; poste.it; www.credem.it; credem.it; www.creval.it;
      creval.it; www.gruppocarige.it; gruppocarige.it; www.rasbank.it;
      rasbank.it; www.bancagenerali.it; bancagenerali.it;
      www.garanti.com.tr; garanti.com.tr; www.kocbank.com.tr;
      kocbank.com.tr; www.disbank.com.tr; disbank.com.tr;
      www.cassarimini.it; cassarimini.it; www.unicredit.it; unicredit.it;
      www.chase.com; chase.com; www.southtrust.com; southtrust.com;
      www.wachovia.com; wachovia.com; www.wellsfargo.com; wellsfargo.com;
      www.barclays.co.uk; barclays.co.uk; www.barclays.com; barclays.com;
      www.barclays.pt; barclays.pt; www.barclays.pt; barclays.pt;
      online.cassarimini.it; www.bancacarim.it; bancacarim.it; www.citi.com;
      citi.com; www.citibank.com; citibank.com; www.etrade.com; etrade.com;
      www.neteller.com; neteller.com; tcfbank.com; www.tcfbank.com;
      hsbc.com; www.hsbc.com; hsbc.co.uk; www.hsbc.co.uk

Le fichier hôte modifié ressemblera à ceci:

Porte dérobée Le port suivant est ouvert:

– sys32.exe sur le port TCP 3398 afin de fonctionner comme serveur proxy Sock 5.

Serveur de contact:
Le suivant:
• http://216.32.94.**********/log/inf.php

Ceci est fait par l'intermédiaire de la requête HTTP GET du script PHP.

Il envoie de l'information au sujet de:
• Les informations rassemblées, décrites dans la section

Vol d'informations Il essaie de voler l'information suivante:
– Des informations sur le compte d'email, obtenues de la clé de registre: HKCU\Software\Microsoft\Internet Account Manager\Accounts

– Le mot de passe du programme suivant:
• The Bat

Détails de fichier Langage de programmation:
Le fichier a été écrit en Delphi.

Logiciel de compression des fichiers exécutables:
Pour entraver la détection et pour réduire la taille du fichier il est compressé avec le logiciel de compression des exécutables suivant:
• UPX

Voir la description brève ici.

Description inséré par Andrei Gherman sur Fri, 13 Jan 2006 10:10 (GMT+1)
Description mise à jour par Andrei Ivanes sur Sat, 14 Jan 2006 03:57 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Retour