CE SERVICE PEUT CONTENIR DES TRADUCTIONS GÉNÉRÉES PAR GOOGLE. GOOGLE DÉCLINE TOUTE GARANTIE, EXPLICITE OU IMPLICITE, Y COMPRIS LES GARANTIES D'EXACTITUDE, DE FIABILITÉ, AINSI QUE TOUTE GARANTIE IMPLICITE DE COMMERCIALISATION ET D'ADAPTATION À DES FINS PARTICULIÈRES ET À L'ABSENCE DE CONTREFAÇONS.

Le site internet de Kaspersky Lab a été traduit pour votre commodité en utilisant un logiciel de traduction générée par Google. Des efforts raisonnables ont été faits pour fournir une traduction exacte. Cependant, aucune traduction automatique n'est parfaite et l'objectif n'est pas de remplacer le travail des traducteurs. Le site internet de Kaspersky Lab fournit ces traductions comme un service pour ses utilisateurs, et elles ont été publiées "telles quelles". Aucune garantie, explicite ou implicite, n'est faite au sujet de l'exactitude, de fiabilité ou de conformité de ces traductions faites de l'anglais vers une autre langue. Certains contenus (images, vidéos, Flash, etc.) peuvent ne pas être traduits correctement à cause des limites du logiciel de traduction.

Trojan-PSW.Win32.Widget

Classe Trojan-PSW
Plateforme Win32
Description

Détails techniques

Ceci est un mot de passe et un programme de vol d'informations WebMoney Trojan avec la possibilité de télécharger ses "mises à jour" à partir de sites Web Internet et de se remplacer par ses nouvelles versions. Le cheval de Troie a été implémenté dans des paquets de jeux freeware et a été distribué de cette manière en mai 2001.

Étant donné que le cheval de Troie peut se «mettre à niveau» à partir de sites Web Internet, les informations ci-dessous peuvent ne pas être complètement correctes pour les versions de Troie encore inconnues.

Installation

Lorsque le cheval de Troie est exécuté, il se copie dans le répertoire système Windows avec le nom TASKSVR32.EXE et s'enregistre lui-même dans la clé d'exécution automatique du registre:

HKLMSoftwareMicrosoftWindowsCurrentVersionRun Gestionnaire des tâches Microsoft = tasksvr32.exe

Si une erreur survient lors de la création de cette clé (l'utilisateur actuel n'a pas accès aux clés HKLM), le cheval de Troie s'inscrit lui-même dans la clé HKCU:

HKCUSoftwareMicrosoftWindowsCurrentVersionRun Gestionnaire des tâches Microsoft = tasksvr32.exe

Le cheval de Troie crée ensuite l'assistant de fichier DLL COOLX.DLL dans le répertoire système de Windows. Le fichier cheval de Troie original (à partir duquel le cheval de Troie a démarré) est ensuite supprimé.

Le cheval de Troie crée également plus de clés de registre et y écrit des valeurs hexadécimales:

HKCUSoftwareMicrosoftDirectX
DRMInstallFocus =% hex valie%; ces quatre clés sont
DRMInstallPlace =% hex valie%; heure du système lorsque le cheval de Troie
DRMUpdateFocus =% hex valie%; s'installe
DRMUpdatePlace =% hex valie%; au système
DRMVersion =% hex valie%; version de Troie

Le cheval de Troie reste ensuite dans la mémoire de Windows en tant que processus de service caché et reste actif jusqu'au redémarrage de Windows.

Informations volées

Le cheval de Troie envoie à son auteur les informations suivantes depuis un ordinateur infecté:

Nom de l'ordinateur
Nom d'utilisateur
Chaînes RegisteredOwner et RegisteredOrganization
Informations sur le matériel installé
Ressources réseau avec mode d'accès
adresse IP
Informations sur le serveur d'accès à distance, mots de passe mis en cache
autres connexions et mots de passe d'accès à Internet
Informations sur l'utilisateur ICQ
Informations WebMoney et fichiers de données

Mise à niveau

En fonction de plusieurs conditions, le cheval de Troie obtient des fichiers à partir de sites Internet, les télécharge dans le répertoire temporaire Windows avec le nom RTTY32.EXE et les génère. Ces fichiers sont les prochaines versions de Troie, et ils peuvent avoir des fonctionnalités améliorées.

Les versions de Troie connues téléchargent les fichiers des pages suivantes:

sfavp.chat.ru/update
widpage.chat.ru/update

Autre

Certaines versions connues aussi:

  • remplacer le fichier C: AUTOEXEC.BAT par un programme de type "cheval de Troie C:".
  • exécutez Internet Explorer et ouvrez l'une des pages suivantes:

    http://vrs.ru
    http://ebooks.vov.ru
    http://3w.ozonebooks.com

  • lancez l'attaque DoS sur http://www.ibm.com

  • Lien vers l'original