TR/Dldr.VB.amj - Trojan

A voir aussi

Brève description

Description complète

Statistiques

Nom:	TR/Dldr.VB.amj
La date de la découverte:	11/09/2006
Type:	Cheval de Troie
Sous type:	Downloader
En circulation:	Non
Infections signalées	Faible
Potentiel de distribution:	Faible
Potentiel de destruction:	Faible a moyen
Fichier statique:	Oui
Taille du fichier:	86.016 Octets
Somme de contrôle MD5:	87e58ece4b12b8bad4d486b02ffb97ff
Version VDF:	6.35.01.209
Version IVDF:	6.35.01.213

Général Méthode de propagation:
   • Il ne possède pas de propre routine de propagation

Les alias:
   • Kaspersky: Trojan-Downloader.Win32.VB.amj
   • TrendMicro: TROJ_VB.BKU
   • F-Secure: Trojan-Downloader.Win32.VB.amj
   • Eset: Win32/TrojanDownloader.VB.AMJ

Plateformes / Systèmes d'exploitation:
   • Windows 99
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effets secondaires:
   • Il télécharge des fichiers
   • Il télécharge des fichiers malveillants
   • Il modifie des registres

Immédiatement après l'exécution l'information suivante est affichée:

Fichiers Il s'autocopie dans l'emplacement suivant:
   • %SYSDIR%\ref\installer.exe

Il crée les répertoires suivants:
   • %SYSDIR%\ref
   • %SYSDIR%\ref\Pictures
   • %SYSDIR%\ref\Compress
   • %SYSDIR%\ref\Intercept

Le fichier suivant est créé:

– %WINDIR%\log.txt Ceci est un fichier texte non malveillant avec le contenu suivant:
   • file compress complete

Il essaie de télécharger des fichiers:

– L'emplacement est le suivant:
   • azu.ifastnet.com/**********
Il est sauvegardé sur le disque dur local à l'emplacement: %SYSDIR%\MSWINSCK.OCX

– L'emplacement est le suivant:
   • azu.ifastnet.com/**********
Il est sauvegardé sur le disque dur local à l'emplacement: %SYSDIR%\ref\winlogon.exe

– L'emplacement est le suivant:
   • azu.ifastnet.com/**********
Il est sauvegardé sur le disque dur local à l'emplacement: %SYSDIR%\imgctl.dll

– L'emplacement est le suivant:
   • azu.ifastnet.com/**********
Il est sauvegardé sur le disque dur local à l'emplacement: %SYSDIR%\ref\intercept.exe Les investigations ultérieures ont prouvé que ce ficher est également un Malware. Détecté comme: TR/DelFiles.AC

– L'emplacement est le suivant:
   • azu.ifastnet.com/**********
Il est sauvegardé sur le disque dur local à l'emplacement: %SYSDIR%\ref\Project1.exe

– L'emplacement est le suivant:
   • azu.ifastnet.com/**********
Il est sauvegardé sur le disque dur local à l'emplacement: %SYSDIR%\ref\msok.exe Les investigations ultérieures ont prouvé que ce ficher est également un Malware. Détecté comme: TR/Dldr.VB.acn

Registre La clé de registre suivante est ajoutée afin de lancer le processus après le redémarrage:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "ref1"="%SYSDIR%\ref\winlogon.exe"
   • "ref2"="%SYSDIR%\ref\intercept.exe"
   • "ref3"="%SYSDIR%\ref\msbr.exe"
   • "ref4"="%SYSDIR%\ref\msgc2.exe"
   • "ref5"="%SYSDIR%\ref\msok.exe"
   • "ref6"="%SYSDIR%\ref\installer.exe"

Les clés de registre suivantes sont ajoutée:

– [HKCU\Software\Microsoft\Windows\CurrentVersion]
   • "installday"="%la date courante% %l'heure courante%"

– [HKCU\Software\Microsoft\Windows\ref]
   • "Abs"="2"

– [HKCR\MSWinsock.Winsock]
   • @="Microsoft WinSock Control, version 6.0"
   • "CLSID"="{248DD896-BB45-11CF-9ABC-0080C7E7B78D}"
   • "CurVer"="MSWinsock.Winsock.1"

– [HKCR\MSWinsock.Winsock\CLSID]
   • @="{248DD896-BB45-11CF-9ABC-0080C7E7B78D}"

– [HKCR\MSWinsock.Winsock\CurVer]
   • @="MSWinsock.Winsock.1"

– [HKCR\CLSID\{248DD896-BB45-11CF-9ABC-0080C7E7B78D}]
   • @="Microsoft WinSock Control, version 6.0"

– [HKCR\CLSID\{248DD896-BB45-11CF-9ABC-0080C7E7B78D}\InprocServer32]
   • @="%SYSDIR%\MSWINSCK.OCX"
   • "ThreadingModel"="Apartment"

– [HKCR\CLSID\{248DD896-BB45-11CF-9ABC-0080C7E7B78D}\ProgID]
   • @="MSWinsock.Winsock.1"

– [HKCR\CLSID\{248DD896-BB45-11CF-9ABC-0080C7E7B78D}\TypeLib]
   • @="{248DD890-BB45-11CF-9ABC-0080C7E7B78D}"

– [HKCR\CLSID\{248DD896-BB45-11CF-9ABC-0080C7E7B78D}\Version]
   • @="1.0"

– [HKCR\CLSID\{248DD896-BB45-11CF-9ABC-0080C7E7B78D}\
   VersionIndependentProgID]
   • @="MSWinsock.Winsock"

Détails de fichier Langage de programmation:
Le fichier a été écrit en Visual Basic.

Voir la description brève ici.

Description inséré par Adriana Popa sur Mon, 23 Oct 2006 09:13 (GMT+1)
Description mise à jour par Adriana Popa sur Mon, 23 Oct 2006 09:31 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Retour