TR/Spy.Sters.A - Trojan

A voir aussi

Brève description

Description complète

Statistiques

Nom:	TR/Spy.Sters.A
La date de la découverte:	17/10/2006
Type:	Cheval de Troie
En circulation:	Non
Infections signalées	Faible
Potentiel de distribution:	Faible
Potentiel de destruction:	Faible a moyen
Fichier statique:	Oui
Taille du fichier:	38.400 Octets
Somme de contrôle MD5:	a68490bcae8c1fd3bcdddd0240d6b361
Version VDF:	6.36.00.58
Version IVDF:	6.36.00.69

Général Méthode de propagation:
   • Il ne possède pas de propre routine de propagation

Les alias:
   • Mcafee: QHosts-66 trojan
   • Kaspersky: Trojan-Spy.Win32.Sters.ai
   • Sophos: Troj/KillSec-G
   • Eset: Win32/Spy.Sters
   • Bitdefender: Generic.Malware.SBVwg.69932411

Plateformes / Systèmes d'exploitation:
   • Windows 96
   • Windows 99
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effets secondaires:
   • Il bloque l'accès aux certains sites web
   • Il bloque l'accès aux sites web de sécurité
   • Il modifie des registres

Fichiers Il supprime les fichiers suivants:
• %cookies%\*.*
• %PROGRAM FILES%\McAfee.com\Agent\mctskshd.exe

Registre Les clés suivantes sont en permanence ajoutées aux registres, dans une boucle infinie, afin de lancer les processus après le redémarrage.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
• "Microsoft Windows Session Manager Subsystem"="%WINDIR%\smss.exe"
• "Microsoft Windows Logon Process"="%WINDIR%\winlogon.exe"

Hôtes Le fichier hôte est modifié, comme il est expliqué:

– Dans ce cas les entrées existantes sont écrasées

– L'accès aux liens URL suivants est redirigé vers d'autres destinations :
   • avp.com; kaspersky.com; kaspersky-labs.com; updates1.kaspersky.com;
      updates2.kaspersky.com; updates3.kaspersky.com;
      updates-us1.kaspersky.com; downloads1.kaspersky.com;
      downloads-us1.kaspersky.com; www.avp.com; www.kaspersky.com;
      d-ru-1f.kaspersky-labs.com; d-ru-1h.kaspersky-labs.com;
      d-ru-2f.kaspersky-labs.com; d-ru-2h.kaspersky-labs.com;
      d-eu-2f.kaspersky-labs.com; d-eu-2h.kaspersky-labs.com;
      d-eu-1f.kaspersky-labs.com; d-eu-1h.kaspersky-labs.com;
      d-us-1f.kaspersky-labs.com; d-us-1h.kaspersky-labs.com;
      downloads1.kaspersky.ru; downloads2.kaspersky.ru;
      downloads3.kaspersky.ru; downloads4.kaspersky.ru;
      downloads5.kaspersky.ru; eset.com; www.eset.com; u2.eset.com;
      u3.eset.com; u4.eset.com; u7.eset.com; 82.165.250.33; 82.165.237.14;
      www.nod32.com; nod32.com; eset.casablanca.cz; casablanca.cz;
      customer.symantec.com; liveupdate.symantec.com;
      liveupdate.symantecliveupdate.com; securityresponse.symantec.com;
      symantec.com; update.symantec.com; updates.symantec.com;
      www.symantec.com; www.norton.com; norton.com; mast.mcafee.com;
      mcafee.com; rads.mcafee.com; www.mcafee.com; mcafee.com;
      us.mcafee.com; dispatch.mcafee.com; download.mcafee.com;
      metalhead2005.info; my-etrust.com; nai.com; networkassociates.com;
      secure.nai.com; sophos.com; trendmicro.com; viruslist.com;
      viruslist.com; www.ca.com; www.f-secure.com; www.microsoft.com;
      www.my-etrust.com; www.nai.com; www.networkassociates.com;
      www.sophos.com; www.trendmicro.com; www.viruslist.com; ca.com;
      d66.myleftnut.info; f-secure.com;

Le fichier hôte modifié ressemblera à ceci:

Informations divers Connexion Internet:
Afin de vérifier sa connexion Internet, le serveur DNS suivant est contacté:
• http://www.microsoft.com

Détails de fichier Langage de programmation:
Le fichier a été écrit en Visual Basic.

Logiciel de compression des fichiers exécutables:
Pour entraver la détection et pour réduire la taille du fichier il est compressé avec le logiciel de compression des exécutables suivant:
• UPX

Voir la description brève ici.

Description inséré par Monica Ghitun sur Tue, 17 Oct 2006 11:09 (GMT+1)
Description mise à jour par Andrei Ivanes sur Fri, 03 Nov 2006 09:51 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Retour