Nom: TR/Dldr.Crusher La date de la découverte: 13/09/2007 Type: Cheval de Troie Sous type: Downloader En circulation: Non Infections signalées Faible Potentiel de distribution: Faible Potentiel de destruction: Faible a moyen Fichier statique: Oui Taille du fichier: 20.755 Octets Somme de contrôle MD5: 4e7b455616110B49650D6017a8ebe961 Version IVDF: 6.39.01.124
Général Méthode de propagation: • Il ne possède pas de propre routine de propagation Plateformes / Systèmes d'exploitation: • Windows 2000 • Windows XP Effets secondaires: • Il télécharge des fichiers • Il crée un fichier malveillant • Il vole de l'information Fichiers Il s'autocopie dans l'emplacement suivant: • %PROGRAM FILES% \Common Files\Microsoft Shared\MSINFO\System6.jup Il supprime sa propre copie, exécutée initialement Le fichier suivant est créé: – %PROGRAM FILES% \Common Files\Microsoft Shared\MSINFO\System6.ins Ensuite, il est exécuté après avoir été completment crée. Les investigations ultérieures ont prouvé que ce ficher est également un Malware. Il essaie de télécharger des fichiers: – L'emplacement est le suivant: • http://www.lcve.cn/ma/********** Il est sauvegardé sur le disque dur local à l'emplacement: %TEMPDIR% \cj.exe Ensuite, ce fichier est exécuté après avoir été completment téléchargé. Les investigations ultérieures ont prouvé que ce ficher est également un Malware. Détecté comme: TR/Crypt.NSPI.Gen – L'emplacement est le suivant: • http://www.lcve.cn/ma/********** Il est sauvegardé sur le disque dur local à l'emplacement: %TEMPDIR% \ms.exe Ensuite, ce fichier est exécuté après avoir été completment téléchargé. Les investigations ultérieures ont prouvé que ce ficher est également un Malware. – L'emplacement est le suivant: • http://www.lcve.cn/ma/********** Il est sauvegardé sur le disque dur local à l'emplacement: %TEMPDIR% \zx.exe Ensuite, ce fichier est exécuté après avoir été completment téléchargé. Les investigations ultérieures ont prouvé que ce ficher est également un Malware. Détecté comme: TR/Agent.22016.B – L'emplacement est le suivant: • http://www.lcve.cn/ma/********** Il est sauvegardé sur le disque dur local à l'emplacement: %TEMPDIR% \wl.exe Ensuite, ce fichier est exécuté après avoir été completment téléchargé. Les investigations ultérieures ont prouvé que ce ficher est également un Malware. – L'emplacement est le suivant: • http://www.lcve.cn/ma/********** Il est sauvegardé sur le disque dur local à l'emplacement: %TEMPDIR% \js.exe Ensuite, ce fichier est exécuté après avoir été completment téléchargé. Les investigations ultérieures ont prouvé que ce ficher est également un Malware. Détecté comme: TR/Crypt.FKM.Gen Registre Les clés de registre suivantes sont ajoutée: – [HKCR\CLSID\{798977F1-34FC-4DDD-AF6D-1B5C196B4EB4}] • @="" – [HKCR\CLSID\{798977F1-34FC-4DDD-AF6D-1B5C196B4EB4}\InProcServer32] • @="%PROGRAM FILES% \Common Files\Microsoft Shared\MSINFO\System6.ins" • "ThreadingModel"="Apartment" L'injection du code viral dans d'autres processus – Il injecte le fichier suivant dans un processus: %PROGRAM FILES% \Common Files\Microsoft Shared\MSINFO\System6.ins Nom du processus: • explorer.exeVoir la description brève ici . Description inséré par Gabriel Mustata sur Wed, 12 Sep 2007 14:11 (GMT+1) Description mise à jour par Gabriel Mustata sur Mon, 17 Sep 2007 08:30 (GMT+1)