Trojan-Spy.Win32.WMPatch

Détails techniques

Trojan.WebMoney.Wmpatch est un programme de cheval de Troie composé de deux fichiers exécutables Win32 PE: DBOLE.EXE et SICKBOY.EXE. Ces fichiers sont téléchargés par le programme Trojan TrojanDownloader.Win32.Small.n. Un envoi de masse de ce programme de cheval de Troie a été détecté le 5 mars 2003. Le texte du message apparaît comme suit:

De: Cartes de voeux [greeting_cards@yahoo.com]
Envoyé: 5 mars 2003 8h20 (le texte actuel sur cette ligne est en russe)
Pour: Ivan Petrov
Objet: Vous avez reçu une carte! (Le texte actuel sur cette ligne est en russe)

(Vu ici est un texte russe analogue au texte en anglais juste en dessous.) 

salut! 

Vous avez une carte postale! 
Pour voir cette carte postale, cliquez sur le lien: http://www.yahoo-greeting-cards.com/*************/viewcard_680fe23d52.asp.scr 

Vous pourrez le voir à tout moment dans les 60 prochains jours. 

____________________________________________________ 
Cartes postales favorites sur http://www.yahoo-greeting-cards.com 
 

Fichier – DBOLE.EXE
Ce fichier est compressé avec l'utilitaire PE-Pack. Sa taille compressée est de 32 768 octets et est écrite dans le langage de programmation C. Une fois le cheval de Troie lancé, il vérifie la présence du programme WebMoney. Pour cela, il recherche le fichier WMClient.dll dans le dossier des programmes et y insère le nouveau code. Le nouveau code crée deux fichiers:

c: wmkey.bin
c: wmmem.bin

Le programme crée un fichier de rapport sous le nom:

c: wmlog.bin

Ensuite, le cheval de Troie s'installe dans la clé d'exécution automatique du registre Windows.

Les chaînes suivantes sont contenues dans le fichier:

kernel32.dll balise le bloc c: wmkey.bin c: wmmem.bin 
CreateFileA WriteFile FermerHandle lstrlen CopyFileA 
DatabaseOLE false LogicielMicrosoftWindowsCurrentVersionRun 
Ligne de commande: '% s' - Échec de l'allocation de mémoire + Arrêt
- Version de fichier incorrecte - Erreur d'écriture de fichier + Fichier écrit + Préparer le patch  
+ Point d'entrée à% d (% x) + Patch à% d (% x) + Lecture ok,% d octets lus - Erreur lors de la lecture du fichier
+ Allocation de mémoire ok Taille du fichier:% d octets + Ouvrir le fichier ok - WM non installé 
- Erreur lors de l'ouverture du fichier Patching:% s 
+ Obtenir le chemin ok% s + Démarrer WMClient.dll SoftwareWebmoneyPath% s
c: wmlog.bin

Fichier – SICKBOY.EXE
Ce fichier est compressé avec l'utilitaire PE-Pack, sa taille compressée est de 28,672 octets et est écrit dans le langage de programmation C. Lors de son lancement, ce fichier reste dans la mémoire de l'ordinateur victime et envoie les fichiers suivants par courrier électronique:

 "c: wmlog.bin", "c: wmmem.bin", "c: wmkey.bin" 

Ils sont envoyés à l'adresse:

sickboy@centrum.cz

Donc, ce programme peut se connecter au serveur SMTP et pour former le texte de l'email il convertit les fichiers binaires en format texte.

Le fichier conatains les chaînes suivantes:

xfm1.txt RegisterServiceProcess kernel32.dll 
c: wmkey.bin c: wmmem.bin c: wmlog.bin WebMoney Keeper QUIT
Sujets
LES DONNÉES
RCPT À: 
COURRIER DE: 
HELO localhost
62.84.131.172 Fichier SOFTWAREWebmoneyOptions introuvable Fichier texte brut:% s
% .2x Nom de fichier bin:% s