TR/Mutech.B - Trojan

A voir aussi

Brève description

Description complète

Statistiques

Nom:	TR/Mutech.B
La date de la découverte:	13/02/2006
Type:	Cheval de Troie
En circulation:	Non
Infections signalées	Faible
Potentiel de distribution:	Faible
Potentiel de destruction:	Moyen
Fichier statique:	Oui
Taille du fichier:	26.624 Octets
Somme de contrôle MD5:	952e07ec0077f25ea55c844c38bb43ef
Version VDF:	6.33.00.222

Général Méthode de propagation:
   • Il ne possède pas de propre routine de propagation

Les alias:
   • Kaspersky: Trojan-Downloader.Win32.Agent.acv
   • TrendMicro: TROJ_MUTECH.H
   • Bitdefender: Trojan.Mutech.E

Plateformes / Systèmes d'exploitation:
   • Windows 96
   • Windows 99
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effets secondaires:
   • Il modifie des registres

Fichiers Il s'autocopie dans l'emplacement suivant:
• %SYSDIR%\perfont.exe

Les fichiers suivants sont créés:

– %SYSDIR%\wbem\wmiprvi.dll Les investigations ultérieures ont prouvé que ce ficher est également un Malware. Détecté comme: TR/Mutech.B

– %SYSDIR%\DRIVERS\netpt.sys

Registre Les clés de registre suivantes sont ajoutées afin de charger les services après le redémarrage:

– [HKLM\SYSTEM\CurrentControlSet\Services\NetPT]
   • Type = dword:00000001
   • Start = dword:00000001
   • ErrorControl = dword:00000000
   • ImagePath = system32\DRIVERS\netpt.sys
   • DisplayName = NetBIOS Protection

– [HKLM\SYSTEM\CurrentControlSet\Services\NetPT\Security]
   • Security = %valeurs hexa%

– [HKLM\SYSTEM\CurrentControlSet\Services\NetPT\Enum]
   • 0 = Root\LEGACY_NETPT\0000
   • Count = dword:00000001
   • NextInstance = dword:00000001

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_NETPT]
   • NextInstance = dword:00000001

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_NETPT\0000]
   • Service = NetPT
   • Legacy = dword:00000001
   • ConfigFlags = dword:00000000
   • Class = LegacyDriver
   • ClassGUID = {8ECC055D-047F-11D1-A537-0000F8753ED1}
   • DeviceDesc = NetBIOS Protection

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_NETPT\0000\Control]
   • *NewlyCreated* = dword:00000000
   • ActiveService = NetPT

– [HKLM\SYSTEM\CurrentControlSet\Services\PerfFont]
   • Type = dword:00000010
   • Start = dword:00000002
   • ErrorControl = dword:00000000
   • ImagePath = %SYSDIR%\perfont.exe
   • DisplayName = Performance True Type Font
   • ObjectName = LocalSystem

– [HKLM\SYSTEM\CurrentControlSet\Services\PerfFont\Security]
   • Security = %valeurs hexa%

– [HKLM\SYSTEM\CurrentControlSet\Services\PerfFont\Enum]
   • 0 = Root\LEGACY_PERFFONT\0000
   • Count = dword:00000001
   • NextInstance = dword:00000001

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_PERFFONT]
   • NextInstance = dword:00000001

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_PERFFONT\0000]
   • Service = PerfFont
   • Legacy = dword:00000001
   • ConfigFlags = dword:00000000
   • Class = LegacyDriver
   • ClassGUID = {8ECC055D-047F-11D1-A537-0000F8753ED1}

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_PERFFONT\0000\
   Control]
   • *NewlyCreated* = dword:00000000
   • ActiveService = PerfFont

Les clés de registre suivantes sont ajoutée:

– [HKCR\CLSID\{4DE225BF-CF59-4CFC-85F7-68B90F185355}\InprocServer32]
   • @ = %SYSDIR%\wbem\wmiprvi.dll
   • ThreadingModel = Both

– [HKLM\SOFTWARE\Classes\CLSID\{4DE225BF-CF59-4CFC-85F7-68B90F185355}\
   InprocServer32]
   • @ = %SYSDIR%\wbem\wmiprvi.dll
   • ThreadingModel = Both

Porte dérobée Serveur de contact:
Le suivant:
• 85.255.117.**********

La technologie Rootkit C'est une technologie spécifique au malware. Le malware cache sa présence aux utilitaires de système, applications de sécurité et à la fin, à l'utilisateur.

Il cache les suivants:
– Son propre processus

Voir la description brève ici.

Description inséré par Andrei Gherman sur Fri, 10 Mar 2006 10:30 (GMT+1)
Description mise à jour par Andrei Gherman sur Fri, 10 Mar 2006 10:47 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Retour