CE SERVICE PEUT CONTENIR DES TRADUCTIONS GÉNÉRÉES PAR GOOGLE. GOOGLE DÉCLINE TOUTE GARANTIE, EXPLICITE OU IMPLICITE, Y COMPRIS LES GARANTIES D'EXACTITUDE, DE FIABILITÉ, AINSI QUE TOUTE GARANTIE IMPLICITE DE COMMERCIALISATION ET D'ADAPTATION À DES FINS PARTICULIÈRES ET À L'ABSENCE DE CONTREFAÇONS.

Le site internet de Kaspersky Lab a été traduit pour votre commodité en utilisant un logiciel de traduction générée par Google. Des efforts raisonnables ont été faits pour fournir une traduction exacte. Cependant, aucune traduction automatique n'est parfaite et l'objectif n'est pas de remplacer le travail des traducteurs. Le site internet de Kaspersky Lab fournit ces traductions comme un service pour ses utilisateurs, et elles ont été publiées "telles quelles". Aucune garantie, explicite ou implicite, n'est faite au sujet de l'exactitude, de fiabilité ou de conformité de ces traductions faites de l'anglais vers une autre langue. Certains contenus (images, vidéos, Flash, etc.) peuvent ne pas être traduits correctement à cause des limites du logiciel de traduction.

Trojan-Downloader.Win32.VB

Date de la détection 04/13/2010
Classe Trojan-Downloader
Plateforme Win32
Description

Le cheval de Troie garantit que les fichiers cachés ne peuvent pas être affichés par Explorer.exe en modifiant les paramètres de clé de registre système suivants:

[HKCUSoftwareMicrosoftWindowsCurrentVersionExplorerAdvanced]
"Caché" = "0"
"ShowSuperHidden" = "0"

Le cheval de Troie s'assure également que les extensions de fichiers ne peuvent pas être affichées par Explorer.exe en définissant les paramètres de clé de registre système suivants:

[HKCUSoftwareMicrosoftWindowsCurrentVersionExplorerAdvanced]
"HideFileExt" = "1"

Afin d'éviter que ces paramètres ne soient annulés, le cheval de Troie désactive "Options des dossiers" dans Explorer.exe en définissant le paramètre clé de registre système suivant:

[HKLMSoftwareMicrosoftWindowsCurrentVersionpoliciesexplorer]
"NoFolderOptions" = "1"

Le cheval de Troie crée ensuite un dossier caché appelé "psador18.dll" dans le répertoire système de Windows:

% System% ðsàdîr18.dll

Le fichier contient les adresses électroniques suivantes:

ot01_***@mail.ru
ot02_***@mail.ru

Le cheval de Troie extrait également un rootkit appelé "psagor18.sys" de son corps. Ce fichier sera placé dans le répertoire de travail du cheval de Troie. Ce rootkit inclut des fonctions qui cacheront la présence des fichiers "psador18.dll" et "AHTOMSYS19.exe". Il donne également au cheval de Troie les privilèges système les plus élevés, ce qui rend impossible la suppression du fichier cheval de Troie ou l'arrêt des processus de Troie.

Lorsque le système est arrêté, ce fichier sera supprimé, mais sera recréé lorsque le système est redémarré.

Le cheval de Troie suit l'apparence des fenêtres avec les titres suivants:

NOD32 2.5 Centre de contrôle
Сканер NOD32 по требованию – [Профиль центра управления – Локально] Сканер NOD32 по требованию – [Профиль контекстного меню] NOD32 – Предупреждение Пpeдупpeждeниe Редактор конфиг урации NOD32 – [Untitled] Антивирус Касперского Personal выполняется проверка … 0 à Карантин Настройка обновления Настройка карантина и резервного хранилища AVP.MessageDialog AVP.MainWindow AVP.Product_Notification AVP.SettingsWindow AVP.ReportWindow Agnitum Outpost Pare-feu – configuration.cfg Настройка системы Редактор реестра RegEdit_RegEdit Выберите файл для отправки на исследование

Si le cheval de Troie détecte de telles fenêtres, elles seront automatiquement fermées.

Le cheval de Troie recherche également des périphériques flash. S'il détecte de tels périphériques, le cheval de Troie copiera son corps en tant que "CDburn.exe" et créera un fichier appelé "autorun.inf" qui contient un lien vers le corps du cheval de Troie. Cela garantit que le fichier cheval de Troie sera automatiquement lancé chaque fois que l'appareil est connecté.

Le cheval de Troie récupère également les adresses e-mail de la machine victime et leur envoie un message électronique. L'email a une ligne d'objet vide, et le contenu suivant:

Я незнаю ее там помоему небыло (((… вот, посмотри http://softclub.land.ru/seeing/katie.rar

Lien vers l'original