English
Deutsch
Francais
Español
Italian
Accueil
Menaces
TR/Fotomoto.E
Recherche
Accueil
Support
Solutions
Produits
Téléchargements
Menaces
Statistics
Phishing Worldmap
VDF History
Virus Science
Submit Sample
Security News
Viruses In the Wild
Société
Presse
Partenaires
Newsletter
TR/Fotomoto.E - Trojan
A voir aussi
Brève description
Description complète
Statistiques
How would you rate this information?
Worthless
Excellent
Nom:
TR/Fotomoto.E
La date de la découverte:
29/08/2007
Type:
Cheval de Troie
En circulation:
Non
Infections signalées
Faible
Potentiel de distribution:
Faible
Potentiel de destruction:
Moyen
Fichier statique:
Oui
Taille du fichier:
75.284 Octets
Somme de contrôle MD5:
1ffd1d03db9b66987c6875f5981236c1
Version IVDF:
6.39.01.57
Général
Méthode de propagation:
• Il ne possède pas de propre routine de propagation
Les alias:
• Mcafee: Downloader-BFC
• Kaspersky: Trojan.Win32.Agent.bck
• F-Secure: Trojan.Win32.Agent.bck
• Sophos: Troj/Bckdr-QJL
• Panda: Trj/Downloader.OZB
• Eset: Win32/Agent.BCK
Plateformes / Systèmes d'exploitation:
• Windows 99
• Windows 98 SE
• Windows NT
• Windows ME
• Windows 2000
• Windows XP
• Windows 2003
Effets secondaires:
• Il diminue les réglages de sécurité
• Il modifie des registres
• Il facilite l'accès non autorisé à l'ordinateur
Registre
Les clés de registre suivantes sont ajoutées afin de charger le service après le redémarrage:
– [HKLM\SYSTEM\CurrentControlSet\Services\DomainService]
• Type = 10
• Start = 2
• ErrorControl = 0
• ImagePath =
%le dossier d'exécution du malware%
\
%le fichier exécuté%
/service
• DisplayName = DomainService
• ObjectName = LocalSystem
• FailureActions =
%valeurs hexa%
• Description = DomainService
– [HKLM\SYSTEM\CurrentControlSet\Services\DomainService\Security]
• Security =
%valeurs hexa%
– [HKLM\SYSTEM\CurrentControlSet\Services\DomainService\Enum]
• 0 = Root\LEGACY_DOMAINSERVICE\0000
• Count = 1
• NextInstance = 1
La valeur de la clé de registre suivante est supprimée:
– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
• DDC
Il crée l'entrée suivante afin de passer par le Firewall de Windows XP:
– [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\List]
•
%le dossier d'exécution du malware%
\
%le fichier
exécuté%
=
%le dossier d'exécution du malware%
\
%le
fichier exécuté%
:*
La clé de registre suivante est ajoutée:
– [HKLM\SOFTWARE\Microsoft\DomainService]
La clé de registre suivante est changée:
– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
L'ancienne valeur:
• SFCDisable = 0
La nouvelle valeur:
• SFCDisable = 4
Porte dérobée
Serveur de contact:
Tous les suivants:
• http://23.244.141.185/**********/install.php
• http://23.244.141.185/**********/heartbeat.php
• http://23.244.141.185/**********/domains.php
En conséquence il peut envoyer de l'information et fournir d'accès à distance.
Il envoie de l'information au sujet de:
• Le statut courant du malware
Capacités d'accès à distance:
• Télécharger un fichier
• Visiter un site web
Détails de fichier
Langage de programmation:
Le fichier a été écrit en MS Visual C++.
Logiciel de compression des fichiers exécutables:
Afin d'entraver la détection et de réduire la taille du fichier il est compressé avec un logiciel de compression des exécutables.
Voir la description brève
ici
.
Description inséré par Andrei Gherman sur Wed, 10 Oct 2007 09:57 (GMT+1)
Description mise à jour par Andrei Gherman sur Wed, 10 Oct 2007 10:18 (GMT+1)
»
About Malware
»
About Phishing
»
Viruses In the Wild
« back
Imprimer cette page
TR/Crypt.CFI.Gen
Worm/Mytob.AD
Worm/Kidala.G
Worm/Mytob.BF
Worm/Mytob.AT
BDS/Frauder.bu
DR/Autoit.I.1
TR/Spy.ZBot.DFR
TR/VB.aei
EXP/Java.Gimsh.A.40
© 2008 Avira GmbH
Copyright
Domaine privé
Plan du site
Feedback
Marque d’impression
FAQ
Contact