Trojan.VBS.Carewmr

Détails techniques

Carewmr est un programme de cheval de Troie dangereux écrit dans le langage VBS. Il supprime le contenu du répertoire "C: Windows".

Lorsque le programme Trojan est exécuté, il affiche les messages suivants:

"Bienvenue dans CLRAV de Kasperskys, appuyez sur OK ou Accepter pour lancer la numérisation de votre ordinateur."

"ERREUR !, erreur de code: 3212552, veuillez exécuter cet outil dans MS-DOS."

"Merci de préférer les produits Kasperskys"

"Carewmr" ouvre alors le site "http: www.avp.ru" dans le navigateur Internet par défaut.

Le 1er septembre, le programme de chevaux de Troie affiche le message suivant:

"Mr.Carew vuelve otra vez !!, jaja"

Il supprime également les clés de registre suivantes:

"HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunSystemTray" "HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunAVPCC" "HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunNAVW32" "HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunTrueVector" "HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunZoneAlarm Pro"

"Carewmr" crée ensuite plusieurs fichiers et répertoires, comme indiqué ci-dessous.

Fichiers créés

"C: Norton2003isbad_preferKAVORAVP"
"C: AVP"
"C: NAV"
"C: CHILI"
"C: TEMUCO"
"C: MCAFEE"
"C: ENTELPCS"
"C: GSM1900MHZ"
"C: SONYERICSSON"
"C: CAREFULLY_WHIT_ME"
"C: YOUR_PC_IS_VERY_BAD"
"C: Je déteste MELINA"
"C: VBS.CarewMR.a"
"C: Windows est un vrai virus?"
"C: MELINA_TE_ODIO_MUERETE!"
"C: WindowsXP"
"C: Windows3.11"
"C: Windows98SE"
"C: WindowsME"
"C: Windows 95"
"C: WindowsNT"
"C: Windows2000"
"C: TELLCELL SA"
"C: PORN"
"C: ORAL_SEX"
"C: BIN_LADEN_FUCKYOU"
"C: ICQ"
"C: PANDA"
"C: NOD32"
"C: TREND"
"C: PC-CILLIN"
"C: AvpM.exe"
"C: Kaspersky_AntiVirus_PersonalPRO_THEBEST !!!!!"
"C: Norton_thePOOR"
"C: Madonna_Sucking_my_dick.avi"
"C: Your_system_is_infected_by_a_virus_jajajajajajaja.jajajaja"
"C: THE_HEURISTIC_OF_NORTON_IS_VERY_BAD_AND_PRODUCE: POSITIVES-FALSES"

Répertoires créés:

"C: Symantec"
"C: KasperskyLabs"
"C: PandaSoftware"
"C: TrendMicro"
"C: Eset-Nod-baisée"

Ensuite, le cheval de Troie crée un fichier texte nommé CLRAV_Report.log qui a le contenu suivant:

"En raison d'une erreur, erreur de code: 3212552, CLRAV n'a pas désinfecté votre ordinateur"
"Pour le support s'il vous plaît envoyez un e-mail à support@kaspersky.com et s'il vous plaît indiquer l'erreur de code."

Actuellement, ce programme de chevaux de Troie serait «dans la nature».