TR/Agent.XU.21 - Trojan

A voir aussi

Brève description

Description complète

Statistiques

Nom:	TR/Agent.XU.21
La date de la découverte:	07/08/2006
Type:	Cheval de Troie
En circulation:	Non
Infections signalées	Faible
Potentiel de distribution:	Faible a moyen
Potentiel de destruction:	Moyen
Fichier statique:	Oui
Taille du fichier:	40.960 Octets
Somme de contrôle MD5:	4e37d851a3021d66bdf5102eb421bba7
Version VDF:	6.35.01.59
Version IVDF:	6.35.01.59

Général Les alias:
   • Kaspersky: Trojan.Win32.Agent.xu
   • Sophos: W32/Medbot-B
   • Bitdefender: Trojan.Agent.TF

Plateformes / Systèmes d'exploitation:
   • Windows 96
   • Windows 99
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP

Effets secondaires:
   • Arrêt les applications de sécurité
   • Il télécharge des fichiers malveillants
   • Il crée des fichiers
   • Il modifie des registres
   • Il facilite l'accès non autorisé à l'ordinateur

Fichiers Il s'autocopie dans l'emplacement suivant:
• %SYSDIR%\smss.exe

– %SYSDIR%\nvsvcd.exe Ensuite, il est exécuté après avoir été completment crée. Les investigations ultérieures ont prouvé que ce ficher est également un Malware.

Registre La clé de registre suivante est ajoutée afin de lancer le processus après le redémarrage:

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • ".nvsvc"="%SYSDIR%\smss.exe /w"

Les clés de registre suivantes sont ajoutées afin de charger le service après le redémarrage:

– HKLM\SYSTEM\CurrentControlSet\Services\Windows Log
   • "DisplayName"="Windows Log"
   • "ErrorControl"=1
   • "ImagePath"="%SYSDIR%\nvsvcd.exe"
   • "ObjectName"="LocalSystem"
   • "Start"=2
   • "Type"=0x10

La valeur de la clé de registre suivante est supprimée:

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • KAVPersonal50

IRC Afin de fournir des informations sur le système et d'accès à distance, il se connecte aux serveurs IRC suivants:

Serveur: reg.raxoper**********
Port: 80
Pseudonyme: jebh-1__%chaîne de caractères aléatoire de quatre digits%_%chaîne de caractères aléatoire de quatre digits%

Serveur: sir.carekor**********
Port: 80
Pseudonyme: jebh-1__%chaîne de caractères aléatoire de quatre digits%_%chaîne de caractères aléatoire de quatre digits%

Serveur: pid.faretun**********
Port: 80
Pseudonyme: jebh-1__%chaîne de caractères aléatoire de quatre digits%_%chaîne de caractères aléatoire de quatre digits%

– Ensuite il a la capacité d'opérer des actions tel que:
• Télécharger un fichier
• Exécuter un fichier

Porte dérobée Serveur de contact:
Le suivant:
   • http://rc.rizalof.com/**********

En conséquence il peut envoyer de l'information. Ceci est fait par l'intermédiaire de la requête HTTP GET du script PHP.

Il envoie de l'information au sujet de:
    • Le statut courant du malware

Capacités d'accès à distance:
    • Télécharger un fichier
    • Exécuter un fichier

L'injection du code viral dans d'autres processus – Il s'injecte dans un processus.

    Nom du processus :
   • %SYSDIR%\svchost.exe

   En cas de succès, le processus malware se termine pendent que la partie injectée reste active.

Détails de fichier Langage de programmation:
Le fichier a été écrit en MS Visual C++.

Logiciel de compression des fichiers exécutables:
Pour entraver la détection et pour réduire la taille du fichier il est compressé avec le logiciel de compression des exécutables suivant:
• UPX

Voir la description brève ici.

Description inséré par Bogdan Iliuta sur Mon, 14 Aug 2006 11:57 (GMT+1)
Description mise à jour par Bogdan Iliuta sur Tue, 05 Sep 2006 10:04 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Retour