CE SERVICE PEUT CONTENIR DES TRADUCTIONS GÉNÉRÉES PAR GOOGLE. GOOGLE DÉCLINE TOUTE GARANTIE, EXPLICITE OU IMPLICITE, Y COMPRIS LES GARANTIES D'EXACTITUDE, DE FIABILITÉ, AINSI QUE TOUTE GARANTIE IMPLICITE DE COMMERCIALISATION ET D'ADAPTATION À DES FINS PARTICULIÈRES ET À L'ABSENCE DE CONTREFAÇONS.

Le site internet de Kaspersky Lab a été traduit pour votre commodité en utilisant un logiciel de traduction générée par Google. Des efforts raisonnables ont été faits pour fournir une traduction exacte. Cependant, aucune traduction automatique n'est parfaite et l'objectif n'est pas de remplacer le travail des traducteurs. Le site internet de Kaspersky Lab fournit ces traductions comme un service pour ses utilisateurs, et elles ont été publiées "telles quelles". Aucune garantie, explicite ou implicite, n'est faite au sujet de l'exactitude, de fiabilité ou de conformité de ces traductions faites de l'anglais vers une autre langue. Certains contenus (images, vidéos, Flash, etc.) peuvent ne pas être traduits correctement à cause des limites du logiciel de traduction.

Email-Worm.Win32.FunnyPics

Classe Email-Worm
Plateforme Win32
Description

Détails techniques

Ce virus se propage via Internet en tant que pièce jointe à des messages infectés. Le ver lui-même est un fichier Windows PE EXE 14136 octets de taille.

Installation

Le ver se copie dans le répertoire racine Windows sous le nom brsh32.exe:

 % WinDir% brsh32.exe 

Il enregistre ensuite ce fichier dans le registre système Windows en tant que nouveau service. Cela garantit que le ver sera lancé chaque fois que Windows est redémarré sur la machine victime:

 [HKLMSoftwareMicrosoftWindowsCurrentVersionRunServices]
 "brsh32Service" = "% WinDir% brsh32.exe -q" 

Le ver va:

  1. propager par email
  2. Possibilité d'administration à distance de la machine victime via une porte dérobée

Le ver s'envoie vers les adresses e-mail récupérées sur la machine victime.

Lors de l'envoi de messages infectés, le ver établit une connexion directe au serveur SMTP du destinataire.

Sujet du courriel

L'objet du message est choisi au hasard dans la liste ci-dessous:

  • êtes-vous prêt à en profiter?
  • veux-tu rire?
  • Téléchargez des images drôles gratuitement!
  • télécharger des économiseurs d'écran gratuitement!
  • Photos gratuites et économiseurs d'écran
  • économiseur d'écran gratuit
  • photos drôles est en ligne à nouveau!
  • Offre spéciale funnypics
  • souffler OUT!
  • humour en ligne
  • morceau d'amusement!
  • Écouter Dr.Fun
  • photos et économiseurs d'écran
  • prêt? stable? rire!
  • Sauvegardez votre écran!
  • ce que tu veux voir?

Contenu du courrier électronique

Le corps du message ne change pas, et est comme suit:

Funny Pics Inc. revient avec plus de trucs gratuits.Visitez notre nouveau site web avec beaucoup de photos drôles et de nouveaux économiseurs d'écran comme celui-ci! www.funnypics.com

Attachement

Le ver envoie une copie de lui-même dans la pièce jointe suivante:% windir% brsh32.exe. Cependant, il déguise ce fichier comme une image de www.funnypics.com.

Le nom de pièce jointe est choisi au hasard dans la liste ci-dessous:

  • billBates.scr
  • bzzz.scr
  • funnyPic.scr
  • intelAside.scr
  • kennyIsAlive.scr
  • mac0s.scr
  • matrice-SP.scr
  • mrBrown.scr
  • méchantPokemon.scr
  • paradise.scr
  • PhantomMenaze.scr
  • southPark.scr
  • SouthParkOuttaSpace.scr
  • starWarz.scr
  • waaazUp.scr
  • x-filez.scr

Charge utile

Le ver ouvrira un port TCP entre 8000 et 8255 (choisi au hasard) et écoutera les commandes.

Cela permet à un utilisateur malveillant distant d'accéder pleinement à la machine victime, ce qui permet d'obtenir des informations de la machine victime, de télécharger, lancer et supprimer des fichiers.

Instructions de suppression

  1. Supprimez la clé de registre suivante:
    [HKLMSoftwareMicrosoftWindowsCurrentVersionRunServices]
    "brsh32Service" = "% WinDir% brsh32.exe -q"
  2. À l'aide du Gestionnaire des tâches, arrêtez le processus appelé brsh32.exe.
  3. Supprimez le fichier suivant:% WinDir% brsh32.exe.
  4. Effectuez une analyse complète de votre ordinateur ( téléchargez la version d'évaluation de Kaspersky Anti-Virus ).

Lien vers l'original