TR/Dldr.TComBill.O - Trojan

A voir aussi

Brève description

Description complète

Statistiques

Nom:	TR/Dldr.TComBill.O
La date de la découverte:	03/10/2006
Type:	Cheval de Troie
Sous type:	Downloader
En circulation:	Non
Infections signalées	Faible
Potentiel de distribution:	Faible
Potentiel de destruction:	Faible a moyen
Fichier statique:	Oui
Taille du fichier:	20.992 Octets
Somme de contrôle MD5:	2a36d74ac7f8a4cd7e3df11b5d84bd4e
Version VDF:	6.36.00.49
Version IVDF:	6.36.00.60

Général Méthode de propagation:
   • Il ne possède pas de propre routine de propagation
   • Mcafee: Downloader-AAP
   • Kaspersky: Trojan-Downloader.Win32.Nurech.b
   • Sophos: Troj/Clagger-AD
   • Eset: Win32/TrojanDownloader.Agent.UF

Plateformes / Systèmes d'exploitation:
   • Windows 96
   • Windows 99
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effets secondaires:
   • Il télécharge un fichier malveillant
   • Il crée un fichier
   • Il modifie des registres

Fichiers Il s'autocopie dans l'emplacement suivant:
   • %SYSDIR%\ipf.exe

Le fichier suivant est créé:

– %SYSDIR%\drivers\winut.dat Ceci est un fichier texte non malveillant avec le contenu suivant:
   • http://mncppcbulletinboard.org/images/**********
     http://paulfrank.name/media/**********
     http://addiekay.com/images/rotate/**********
     http://deja-rue.com/mypix/**********
     http://derbydaddy.com/sponsor/**********
     http://databane.com/images/sidebar/**********
     http://shinerbach.com/photo/album1/**********
     http://spicynites.co.uk/images/**********
     http://carpetsdirect-r-us.com/e107_docs/**********
     http://gorelov-dv.org/files/weg.txt
     http://cwmdulais.org.uk/public_html/images/**********
     http://mjfconsultancy.com/images/**********
     http://mcgeown.co.uk/images/**********
     http://ecocleanservices.co.uk/**********
     http://caithnesscanineclub.co.uk/gallery/pictures/**********
     http://kosheen.net/e107_files/downloadimages/**********
     http://83.149.103.136/**********

Il essaie de télécharger un ficher:

– Les emplacements sont les suivants:
   • http://mncppcbulletinboard.org/images/**********
   • http://paulfrank.name/media/**********
   • http://addiekay.com/images/rotate/**********
   • http://deja-rue.com/mypix/**********
   • http://derbydaddy.com/sponsor/**********
   • http://databane.com/images/sidebar/**********
   • http://shinerbach.com/photo/album1/**********
   • http://spicynites.co.uk/images/**********
   • http://carpetsdirect-r-us.com/e107_docs/**********
   • http://gorelov-dv.org/files/weg.txt
   • http://cwmdulais.org.uk/public_html/images/**********
   • http://mjfconsultancy.com/images/**********
   • http://mcgeown.co.uk/images/**********
   • http://ecocleanservices.co.uk/**********
   • http://caithnesscanineclub.co.uk/gallery/pictures/**********
   • http://kosheen.net/e107_files/downloadimages/**********
   • http://83.149.103.136/**********
Il est sauvegardé sur le disque dur local à l'emplacement: %SYSDIR%\drivers\winut.dat Ensuite, ce fichier est exécuté après avoir été completment téléchargé. Ce fichier peut contenir d'autres emplacements de téléchargement et pourrait servir comme source à de nouvelles menaces.

Registre On ajoute une des valeurs suivantes afin de lancer le processus après le redémarrage:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
• "ifp"="%le dossier d'exécution du malware%\%le fichier exécuté%"

La clé de registre suivante est ajoutée:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion]
• "windowsshell"=dword:00000001

Détails de fichier Langage de programmation:
Le fichier a été écrit en MS Visual C++.

Voir la description brève ici.

Description inséré par Monica Ghitun sur Tue, 03 Oct 2006 16:01 (GMT+1)
Description mise à jour par Andrei Ivanes sur Thu, 26 Oct 2006 10:45 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Retour