Trojan-Spy.Win32.WMPatch

Classe pour les parents: TrojWare

Les chevaux de Troie sont des programmes malveillants qui exécutent des actions qui ne sont pas autorisées par l'utilisateur: ils suppriment, bloquent, modifient ou copient les données et perturbent les performances des ordinateurs ou des réseaux informatiques. Contrairement aux virus et aux vers, les menaces qui tombent dans cette catégorie sont incapables de se reproduire ou de s'autoreproduire. Les chevaux de Troie sont classés en fonction du type d'action qu'ils effectuent sur un ordinateur infecté.

Classe: Trojan-Spy

Les programmes Trojan-Spy sont utilisés pour espionner les actions d'un utilisateur (suivre les données saisies au clavier, faire des captures d'écran, récupérer une liste d'applications en cours, etc.). Les informations récoltées sont ensuite transmises à l'utilisateur malveillant. Email, FTP, le web (y compris les données dans une demande) et d'autres méthodes peuvent être utilisés pour transmettre les données.

Plus d'informations

Plateforme: Win32

Win32 est une API sur les systèmes d'exploitation Windows NT (Windows XP, Windows 7, etc.) qui prend en charge l'exécution des applications 32 bits. L'une des plateformes de programmation les plus répandues au monde.

Description

Détails techniques

Trojan.WebMoney.Wmpatch est un programme de cheval de Troie composé de deux fichiers exécutables Win32 PE: DBOLE.EXE et SICKBOY.EXE. Ces fichiers sont téléchargés par le programme Trojan TrojanDownloader.Win32.Small.n. Un envoi de masse de ce programme de cheval de Troie a été détecté le 5 mars 2003. Le texte du message apparaît comme suit:

De: Cartes de voeux [greeting_cards@yahoo.com]Envoyé: 5 mars 2003 8h20 (le texte actuel sur cette ligne est en russe)Pour: Ivan PetrovObjet: Vous avez reçu une carte! (Le texte actuel sur cette ligne est en russe)(Vu ici est un texte russe analogue au texte en anglais juste en dessous.) salut! Vous avez une carte postale! Pour voir cette carte postale, cliquez sur le lien: http://www.yahoo-greeting-cards.com/*************/viewcard_680fe23d52.asp.scr Vous pourrez le voir à tout moment dans les 60 prochains jours. ____________________________________________________ Cartes postales favorites sur http://www.yahoo-greeting-cards.com  

Fichier - DBOLE.EXE
Ce fichier est compressé avec l'utilitaire PE-Pack. Sa taille compressée est de 32 768 octets et est écrite dans le langage de programmation C. Une fois le cheval de Troie lancé, il vérifie la présence du programme WebMoney. Pour cela, il recherche le fichier WMClient.dll dans le dossier des programmes et y insère le nouveau code. Le nouveau code crée deux fichiers:

c: wmkey.binc: wmmem.bin

Le programme crée un fichier de rapport sous le nom:

c: wmlog.bin

Ensuite, le cheval de Troie s'installe dans la clé d'exécution automatique du registre Windows.

Les chaînes suivantes sont contenues dans le fichier:

kernel32.dll balise le bloc c: wmkey.bin c: wmmem.bin CreateFileA WriteFile FermerHandle lstrlen CopyFileA DatabaseOLE false LogicielMicrosoftWindowsCurrentVersionRun Ligne de commande: '% s' - Échec de l'allocation de mémoire + Arrêt- Version de fichier incorrecte - Erreur d'écriture de fichier + Fichier écrit + Préparer le patch  + Point d'entrée à% d (% x) + Patch à% d (% x) + Lecture ok,% d octets lus - Erreur lors de la lecture du fichier+ Allocation de mémoire ok Taille du fichier:% d octets + Ouvrir le fichier ok - WM non installé - Erreur lors de l'ouverture du fichier Patching:% s + Obtenir le chemin ok% s + Démarrer WMClient.dll SoftwareWebmoneyPath% sc: wmlog.bin

Fichier - SICKBOY.EXE
Ce fichier est compressé avec l'utilitaire PE-Pack, sa taille compressée est de 28,672 octets et est écrit dans le langage de programmation C. Lors de son lancement, ce fichier reste dans la mémoire de l'ordinateur victime et envoie les fichiers suivants par courrier électronique:

 "c: wmlog.bin", "c: wmmem.bin", "c: wmkey.bin" 

Ils sont envoyés à l'adresse:

sickboy@centrum.cz

Donc, ce programme peut se connecter au serveur SMTP et pour former le texte de l'email il convertit les fichiers binaires en format texte.

Le fichier conatains les chaînes suivantes:

xfm1.txt RegisterServiceProcess kernel32.dll c: wmkey.bin c: wmmem.bin c: wmlog.bin WebMoney Keeper QUITSujetsLES DONNÉESRCPT À: COURRIER DE: HELO localhost62.84.131.172 Fichier SOFTWAREWebmoneyOptions introuvable Fichier texte brut:% s% .2x Nom de fichier bin:% s

En savoir plus

Découvrez les statistiques de la propagation des vulnérabilités dans votre région statistics.securelist.com