TR/Drop.iBill.BD - Trojan

A voir aussi

Brève description

Description complète

Statistiques

Nom:	TR/Drop.iBill.BD
La date de la découverte:	24/10/2008
Type:	Cheval de Troie
Sous type:	Dropper
En circulation:	Oui
Infections signalées	Faible a moyen
Potentiel de distribution:	Moyen
Potentiel de destruction:	Moyen
Fichier statique:	Oui
Taille du fichier:	45.297 Octets
Somme de contrôle MD5:	b8750fa07487b47dc6e1ae54347ddbcb
Version IVDF:	7.00.07.83

Général Méthode de propagation:
   • Il ne possède pas de propre routine de propagation

Les alias:
   • Eset: Win32/Agent.OIR trojan
   • Bitdefender: Trojan.Agent.AKSV

Plateformes / Systèmes d'exploitation:
   • Windows 96
   • Windows 99
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effets secondaires:
   • Il crée un fichier malveillant
   • Il modifie des registres
   • Il vole de l'information

Fichiers Il s'autocopie dans l'emplacement suivant:
• %SYSDIR%\%chaîne de caractères aléatoire de sept digits%.exe

Il supprime sa propre copie, exécutée initialement

Le fichier suivant est créé:

– Fichier inoffensif:
• %SYSDIR%\%chaîne de caractères aléatoire de six digits%

– %SYSDIR%\%chaîne de caractères aléatoire de huit digits%.dll Les investigations ultérieures ont prouvé que ce ficher est également un Malware. Détecté comme: TR/Runner.BG

Registre La clé de registre suivante est ajoutée:

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\
   %chaîne de caractères aléatoire de neuf digits%]
   • Startup="%chaîne de caractères aléatoire de 10 digits% "
   • DLLName="%ficher dll viral%"
   • Impersonate=dword:00000000
   • Asynchronous=dword:00000001

Porte dérobée Serveur de contact:
Le suivant:
• re**********t.mobi

En conséquence il peut envoyer de l'information. Ceci est fait par l'intermédiaire de la méthode HTTP POST en utilisant un script PHP.

Il envoie de l'information au sujet de:
• Les informations rassemblées, décrites dans la section

Vol d'informations Il essaie de voler l'information suivante:

– Les mots de passe des programmes suivants:
   • thebat.exe
   • msimn.exe
   • iexplore.exe
   • myie.exe
   • firefox.exe

Détails de fichier Langage de programmation:
Le fichier a été écrit en MS Visual C++.

Logiciel de compression des fichiers exécutables:
Afin d'entraver la détection et de réduire la taille du fichier il est compressé avec un logiciel de compression des exécutables.

Voir la description brève ici.

Description inséré par Thomas Wegele sur Fri, 24 Oct 2008 10:22 (GMT+1)
Description mise à jour par Philipp Wolf sur Fri, 24 Oct 2008 14:17 (GMT+1)

» À propos des logiciels malveillants
» À propos de l'hameçonnage
» Virus "in the Wild"

« Retour