Classe pour les parents: TrojWare
Les chevaux de Troie sont des programmes malveillants qui exécutent des actions qui ne sont pas autorisées par l'utilisateur: ils suppriment, bloquent, modifient ou copient les données et perturbent les performances des ordinateurs ou des réseaux informatiques. Contrairement aux virus et aux vers, les menaces qui tombent dans cette catégorie sont incapables de se reproduire ou de s'autoreproduire. Les chevaux de Troie sont classés en fonction du type d'action qu'ils effectuent sur un ordinateur infecté.Classe: Trojan
Un programme malveillant conçu pour espionner électroniquement les activités de l'utilisateur (intercepter la saisie au clavier, prendre des captures d'écran, capturer une liste d'applications actives, etc.). Les informations collectées sont envoyées au cybercriminel par divers moyens, y compris par courrier électronique, FTP et HTTP (en envoyant des données dans une requête).Plus d'informations
Plateforme: Win32
Win32 est une API sur les systèmes d'exploitation Windows NT (Windows XP, Windows 7, etc.) qui prend en charge l'exécution des applications 32 bits. L'une des plateformes de programmation les plus répandues au monde.Description
Détails techniques
C'est un programme de Troie Win95 / 98 / ME qui attaque le bureau d'information financière de Xpresso (voir http://www.spxpresso.com). Le cheval de Troie a l'intention de modifier les transactions financières, probablement pour transférer ces transactions sur le compte bancaire du hacker. Le cheval de Troie fait cela en affectant la bibliothèque d'exécution Java utilisée par le client Xpresso qui est écrit en Java.
Le cheval de Troie n'a pas été testé dans le laboratoire de virus, nous ne pouvons donc pas garantir le transfert des transferts d'argent vers un compte pirate ou autre. Le fait est que le cheval de Troie intercepte les transactions et modifie les données dans les blocs de contrôle des transactions.
Le cheval de Troie est distribué en étant attaché aux fichiers Win32 PE EXE. Le code de Troie est placé à la fin des fichiers PE EXE de manière virale. Lorsque le fichier affecté est exécuté, le code du trojan obtient le contrôle et installe le composant principal du cheval de Troie sur le système. Le contrôle est ensuite renvoyé au fichier hôte.
Le cheval de Troie ne peut pas affecter d'autres fichiers PE EXE par lui-même. Il y avait un composant trojan "droping" spécial (application Win32 en ligne de commande) qui trouvait le code trojan attaché aux fichiers PE EXE victimes par requête de l'utilisateur.
Lors de l'installation dans le système, le cheval de Troie extrait de son composant VxD de code (composant trojan principal) et l'écrit dans le fichier MSREBOOT.VXD nouvellement créé dans le répertoire système de Windows. Ce VxD est ensuite enregistré dans la clé de registre "VxD Services".
Il y a aussi plus de clés créées ici:
HKLMSystemCurrentControlSetServicesVxDREBOOT
RebootData = [données de longueur nulle]
Début = 00
StaticVxD = "* REBOOT, MSREBOOT.VXD"
La première clé indique la date à laquelle Trojan va se désinstaller du système. Le cheval de Troie efface ensuite son fichier VXD avec des zéros, puis supprime ce fichier.
La deuxième clé est inconnue.
La troisième clé est la clé de registre de chargement automatique qui force Windows à charger et à activer le fichier VXD au démarrage de Windows.
Lorsque le fichier VXD de Troie est activé, la procédure principale de Trojans surveille le processus d'ouverture de fichier et recherche la bibliothèque d'exécution Java JRT3230.DLL. Le cheval de Troie ignore alors le chargement de la bibliothèque, attend que le chargement soit terminé et accroche la fonction Java "do_execute_java_method_vararg".
Le talonneur croise alors toutes les données traitées par cette fonction, y compris les virements bancaires effectués avec le client Xpresso. Le cheval de Troie analyse la structure de la demande de transfert et remplace certains champs de cette requête par d'autres valeurs. Il semble que le cheval de Troie remplace le numéro de compte de la banque de destination d'origine par celui du pirate.
En savoir plus
Découvrez les statistiques de la propagation des vulnérabilités dans votre région statistics.securelist.com