Trojan-Dropper.Win32.Checkin

Classe pour les parents: TrojWare

Les chevaux de Troie sont des programmes malveillants qui exécutent des actions qui ne sont pas autorisées par l'utilisateur: ils suppriment, bloquent, modifient ou copient les données et perturbent les performances des ordinateurs ou des réseaux informatiques. Contrairement aux virus et aux vers, les menaces qui tombent dans cette catégorie sont incapables de se reproduire ou de s'autoreproduire. Les chevaux de Troie sont classés en fonction du type d'action qu'ils effectuent sur un ordinateur infecté.

Classe: Trojan-Dropper

Les programmes Trojan-Dropper sont conçus pour installer secrètement des programmes malveillants intégrés dans leur code aux ordinateurs des victimes. Ce type de programme malveillant enregistre généralement une série de fichiers sur le lecteur de la victime (généralement dans le répertoire Windows, le répertoire système Windows, le répertoire temporaire, etc.) et les lance sans aucune notification (ou avec une fausse notification d'erreur d'archivage, version obsolète du système d'exploitation, etc.). De tels programmes sont utilisés par des pirates informatiques pour: installer secrètement des programmes de Troie et / ou des virus empêchent les programmes malveillants connus d'être détectés par des solutions antivirus; tous les programmes antivirus ne sont pas capables d'analyser tous les composants de ce type de chevaux de Troie.

Plus d'informations

Plateforme: Win32

Win32 est une API sur les systèmes d'exploitation Windows NT (Windows XP, Windows 7, etc.) qui prend en charge l'exécution des applications 32 bits. L'une des plateformes de programmation les plus répandues au monde.

Description

Détails techniques

Checkin est un cheval de Troie "téléchargeur" ​​qui télécharge un fichier donné à partir d'un certain site et l'exécute. Le cheval de Troie lui-même est un fichier Windows PE EXE, écrit en MS Visual C ++.

Les tailles de fichier de Troie sont des tailles approximatives suivantes:
"Checkin.a": 50Kb
"Checkin.b": 45Kb

Le fichier trojan EXE ne se copie dans aucun répertoire mais crée une clé d'exécution automatique du registre système:

 "Checkin.a":  HKCUSoftwareMicrosoftWindowsCurrentVersionRun  SysReg =% SystemDir% SysReg "Checkin.b":  HKCUSoftwareMicrosoftWindowsCurrentVersionRun  OWMngr =% SystemDir% OWMngr.exe

Il semble que le programme de Troie devrait être complété par un "installateur" qui effectue toutes les étapes pour installer le programme de Trojan dans le système.

Le programme Trojan crée également plus de clés de registre:

 HKCUSoftwareIExplore Annonces   AIDE   ID   Connecté

Il utilise ces clés pour ses besoins «internes».

Checkin devient alors un processus actif (ce processus est visible dans la liste des tâches), télécharge un fichier à partir d'un site Web, le stocke sur le disque dur en utilisant le nom update.exe et exécute ce fichier.

Le nom du site Web et l'URL du fichier distant peuvent varier. Le cheval de Troie Checkin télécharge cette information à partir d'un autre site Web:

  "Checkin.a": http://tp.searchseekfind.com "Checkin.b": http://ads.onwebmedia.com  

À ces endroits, le cheval de Troie utilise le fichier "Checkin.pl".

En savoir plus

Découvrez les statistiques de la propagation des vulnérabilités dans votre région statistics.securelist.com