TR/Dldr.Agent.beti.3 - Trojan

A voir aussi

Brève description

Description complète

Statistiques

Nom:	TR/Dldr.Agent.beti.3
La date de la découverte:	29/05/2009
Type:	Cheval de Troie
Sous type:	Downloader
En circulation:	Oui
Infections signalées	Faible
Potentiel de distribution:	Faible
Potentiel de destruction:	Moyen à élevé
Fichier statique:	Oui
Taille du fichier:	9.792 Octets
Somme de contrôle MD5:	c4c973cfdd2ffdcb847e07df55fdec43
Version IVDF:	7.01.04.35

Général    • Mcafee: Dropper.ek
   • Sophos: Mal/Mdrop-L
   • Panda: Trj/Downloader.VYP
   • Grisoft: Downloader.Agent.AULX
   • Eset: Win32/TrojanDownloader.Small.OOV

Plateformes / Systèmes d'exploitation:
   • Windows 2000
   • Windows XP
   • Windows 2003

Effets secondaires:
   • Arrêt les applications de sécurité
   • Il télécharge des fichiers malveillants
   • Il crée un fichier malveillant
   • Il modifie des registres

Fichiers Il s'autocopie dans l'emplacement suivant:
   • %TEMPDIR%\%chaîne de caractères aléatoire%

Il supprime sa propre copie, exécutée initialement

– %TEMPDIR%\1.txt (0 bytes)
– %TEMPDIR%\nckdta.sys (1344 bytes) Les investigations ultérieures ont prouvé que ce ficher est également un Malware.

Il essaie de télécharger des fichiers:

– Les emplacements sont les suivants:
   • http://files850362.net/b2b/**********
   • http://files850362.net/b2b/load/**********
   • http://files850362.net/b2b/load/**********
Ensuite, ce fichier est exécuté après avoir été completment téléchargé. Les investigations ultérieures ont prouvé que ce ficher est également un Malware.

Registre Les clés de registre suivantes sont ajoutées afin de charger le service après le redémarrage:

– [HKLM\SYSTEM\CurrentControlSet\Services\nckdta]
   • "Type"=dword:00000001
      "Start"=dword:00000003
      "ErrorControl"=dword:00000000
      "ImagePath"= "\??\%TEMPDIR%\nckdta.sys"
      "DisplayName"="nckdta nckdta"

La clé de registre suivante, y compris toutes les valeurs et les sous-clés, est enlevée.
   • [HKLM\SYSTEM\CurrentControlSet\Services\nckdta]

La clé de registre suivante est ajoutée:

– [HKLM\SYSTEM\CurrentControlSet\Services\nckdta]
   • "nckdta"=%nombre%

Détails de fichier Langage de programmation:
Le fichier a été écrit en Assembler.

Logiciel de compression des fichiers exécutables:
Afin d'entraver la détection et de réduire la taille du fichier il est compressé avec un logiciel de compression des exécutables.

Voir la description brève ici.

Description inséré par Petre Galan sur Tue, 07 Jul 2009 20:14 (GMT+1)
Description mise à jour par Petre Galan sur Mon, 17 Aug 2009 16:26 (GMT+1)

» À propos des logiciels malveillants
» À propos de l'hameçonnage
» Virus "in the Wild"

« Retour