CE SERVICE PEUT CONTENIR DES TRADUCTIONS GÉNÉRÉES PAR GOOGLE. GOOGLE DÉCLINE TOUTE GARANTIE, EXPLICITE OU IMPLICITE, Y COMPRIS LES GARANTIES D'EXACTITUDE, DE FIABILITÉ, AINSI QUE TOUTE GARANTIE IMPLICITE DE COMMERCIALISATION ET D'ADAPTATION À DES FINS PARTICULIÈRES ET À L'ABSENCE DE CONTREFAÇONS.
Le site internet de Kaspersky Lab a été traduit pour votre commodité en utilisant un logiciel de traduction générée par Google. Des efforts raisonnables ont été faits pour fournir une traduction exacte. Cependant, aucune traduction automatique n'est parfaite et l'objectif n'est pas de remplacer le travail des traducteurs. Le site internet de Kaspersky Lab fournit ces traductions comme un service pour ses utilisateurs, et elles ont été publiées "telles quelles". Aucune garantie, explicite ou implicite, n'est faite au sujet de l'exactitude, de fiabilité ou de conformité de ces traductions faites de l'anglais vers une autre langue. Certains contenus (images, vidéos, Flash, etc.) peuvent ne pas être traduits correctement à cause des limites du logiciel de traduction.
Date de la détection | 12/31/2004 |
Classe | Trojan-Spy |
Plateforme | Win32 |
Description |
Détails techniquesTrojan.WebMoney.Wmpatch est un programme de cheval de Troie composé de deux fichiers exécutables Win32 PE: DBOLE.EXE et SICKBOY.EXE. Ces fichiers sont téléchargés par le programme Trojan TrojanDownloader.Win32.Small.n. Un envoi de masse de ce programme de cheval de Troie a été détecté le 5 mars 2003. Le texte du message apparaît comme suit: De: Cartes de voeux [greeting_cards@yahoo.com] Envoyé: 5 mars 2003 8h20 (le texte actuel sur cette ligne est en russe) Pour: Ivan Petrov Objet: Vous avez reçu une carte! (Le texte actuel sur cette ligne est en russe) (Vu ici est un texte russe analogue au texte en anglais juste en dessous.) salut! Vous avez une carte postale! Pour voir cette carte postale, cliquez sur le lien: http://www.yahoo-greeting-cards.com/*************/viewcard_680fe23d52.asp.scr Vous pourrez le voir à tout moment dans les 60 prochains jours. ____________________________________________________ Cartes postales favorites sur http://www.yahoo-greeting-cards.com Fichier – DBOLE.EXE c: wmkey.bin c: wmmem.bin Le programme crée un fichier de rapport sous le nom: c: wmlog.bin Ensuite, le cheval de Troie s'installe dans la clé d'exécution automatique du registre Windows. Les chaînes suivantes sont contenues dans le fichier: kernel32.dll balise le bloc c: wmkey.bin c: wmmem.bin CreateFileA WriteFile FermerHandle lstrlen CopyFileA DatabaseOLE false LogicielMicrosoftWindowsCurrentVersionRun Ligne de commande: '% s' - Échec de l'allocation de mémoire + Arrêt - Version de fichier incorrecte - Erreur d'écriture de fichier + Fichier écrit + Préparer le patch + Point d'entrée à% d (% x) + Patch à% d (% x) + Lecture ok,% d octets lus - Erreur lors de la lecture du fichier + Allocation de mémoire ok Taille du fichier:% d octets + Ouvrir le fichier ok - WM non installé - Erreur lors de l'ouverture du fichier Patching:% s + Obtenir le chemin ok% s + Démarrer WMClient.dll SoftwareWebmoneyPath% s c: wmlog.bin Fichier – SICKBOY.EXE "c: wmlog.bin", "c: wmmem.bin", "c: wmkey.bin" Ils sont envoyés à l'adresse: sickboy@centrum.cz Donc, ce programme peut se connecter au serveur SMTP et pour former le texte de l'email il convertit les fichiers binaires en format texte. Le fichier conatains les chaînes suivantes: xfm1.txt RegisterServiceProcess kernel32.dll c: wmkey.bin c: wmmem.bin c: wmlog.bin WebMoney Keeper QUIT Sujets LES DONNÉES RCPT À:
|
Lien vers l'original |
|
Découvrez les statistiques de la propagation des menaces dans votre région |