Nom: TR/Vundo.NV La date de la découverte: 16/12/2008 Type: Cheval de Troie En circulation: Oui Infections signalées Faible Potentiel de distribution: Faible Potentiel de destruction: Faible a moyen Fichier statique: Non Version IVDF: 7.01.00.238
Général Méthode de propagation: • Il ne possède pas de propre routine de propagation L'alias: • Grisoft: Vundo.CL Plateformes / Systèmes d'exploitation: • Windows 96 • Windows 99 • Windows 98 SE • Windows NT • Windows ME • Windows 2000 • Windows XP • Windows 2003 Effets secondaires: • Il télécharge des fichiers malveillants • Il crée des fichiers • Il modifie des registres • Il facilite l'accès non autorisé à l'ordinateur Fichiers Les fichiers suivants sont créés: – Fichiers inoffensifs: • %le dossier d'exécution du malware% \%chaîne de caractères aléatoire% .ini • %le dossier d'exécution du malware% \%chaîne de caractères aléatoire% .ini2 Il essaie de télécharger des fichiers: – L'emplacement est le suivant: • http://85.17.166.232/**********/index.dll Il est sauvegardé sur le disque dur local à l'emplacement: %TEMPDIR% \%chaîne de caractères aléatoire% .dll Ensuite, ce fichier est exécuté après avoir été completment téléchargé. Les investigations ultérieures ont prouvé que ce ficher est également un Malware. Détecté comme: TR/Vundo.NU – L'emplacement est le suivant: • http://89.188.16.46/**********/zc113432.dll Il est sauvegardé sur le disque dur local à l'emplacement: %TEMPDIR% \%chaîne de caractères aléatoire% .dll Ensuite, ce fichier est exécuté après avoir été completment téléchargé. Les investigations ultérieures ont prouvé que ce ficher est également un Malware. Détecté comme: TR/Vundo.NT Registre Il enregistre un objet d'aide du navigateur en ajoutant la clé suivante: – [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ Browser Helper Objects\{2CA510D8-90CD-4120-AB99-F3B9A5E4F43D}] Les clés de registre suivantes sont ajoutée: – [HKCR\CLSID\{2CA510D8-90CD-4120-AB99-F3B9A5E4F43D}\InprocServer32] • @="%le dossier d'exécution du malware% \\%ficher dll viral% " • "ThreadingModel"="Both" – [HKLM\SOFTWARE\Microsoft\%numéro hexadécimal% ] • "Version"=" " L'injection du code viral dans d'autres processus – Il s'injecte dans un processus. Nom du processus: • explorer.exe Détails de fichier Langage de programmation: Le fichier a été écrit en MS Visual C++. Logiciel de compression des fichiers exécutables: Afin d'entraver la détection et de réduire la taille du fichier il est compressé avec un logiciel de compression des exécutables.Voir la description brève ici . Description inséré par Andreas Feuerstein sur Tue, 16 Dec 2008 14:54 (GMT+1) Description mise à jour par Andreas Feuerstein sur Tue, 16 Dec 2008 15:30 (GMT+1)