CE SERVICE PEUT CONTENIR DES TRADUCTIONS GÉNÉRÉES PAR GOOGLE. GOOGLE DÉCLINE TOUTE GARANTIE, EXPLICITE OU IMPLICITE, Y COMPRIS LES GARANTIES D'EXACTITUDE, DE FIABILITÉ, AINSI QUE TOUTE GARANTIE IMPLICITE DE COMMERCIALISATION ET D'ADAPTATION À DES FINS PARTICULIÈRES ET À L'ABSENCE DE CONTREFAÇONS.

Le site internet de Kaspersky Lab a été traduit pour votre commodité en utilisant un logiciel de traduction générée par Google. Des efforts raisonnables ont été faits pour fournir une traduction exacte. Cependant, aucune traduction automatique n'est parfaite et l'objectif n'est pas de remplacer le travail des traducteurs. Le site internet de Kaspersky Lab fournit ces traductions comme un service pour ses utilisateurs, et elles ont été publiées "telles quelles". Aucune garantie, explicite ou implicite, n'est faite au sujet de l'exactitude, de fiabilité ou de conformité de ces traductions faites de l'anglais vers une autre langue. Certains contenus (images, vidéos, Flash, etc.) peuvent ne pas être traduits correctement à cause des limites du logiciel de traduction.

Trojan.Win32.Angriff

Classe Trojan
Plateforme Win32
Description

Détails techniques

C'est un programme de Troie Win95 / 98 / ME qui attaque le bureau d'information financière de Xpresso (voir http://www.spxpresso.com). Le cheval de Troie a l'intention de modifier les transactions financières, probablement pour transférer ces transactions sur le compte bancaire du hacker. Le cheval de Troie fait cela en affectant la bibliothèque d'exécution Java utilisée par le client Xpresso qui est écrit en Java.

Le cheval de Troie n'a pas été testé dans le laboratoire de virus, nous ne pouvons donc pas garantir le transfert des transferts d'argent vers un compte pirate ou autre. Le fait est que le cheval de Troie intercepte les transactions et modifie les données dans les blocs de contrôle des transactions.

Le cheval de Troie est distribué en étant attaché aux fichiers Win32 PE EXE. Le code de Troie est placé à la fin des fichiers PE EXE de manière virale. Lorsque le fichier affecté est exécuté, le code du trojan obtient le contrôle et installe le composant principal du cheval de Troie sur le système. Le contrôle est ensuite renvoyé au fichier hôte.

Le cheval de Troie ne peut pas affecter d'autres fichiers PE EXE par lui-même. Il y avait un composant trojan "droping" spécial (application Win32 en ligne de commande) qui trouvait le code trojan attaché aux fichiers PE EXE victimes par requête de l'utilisateur.

Lors de l'installation dans le système, le cheval de Troie extrait de son composant VxD de code (composant trojan principal) et l'écrit dans le fichier MSREBOOT.VXD nouvellement créé dans le répertoire système de Windows. Ce VxD est ensuite enregistré dans la clé de registre "VxD Services".

Il y a aussi plus de clés créées ici:

HKLMSystemCurrentControlSetServicesVxDREBOOT
RebootData = [données de longueur nulle]
Début = 00
StaticVxD = "* REBOOT, MSREBOOT.VXD"

La première clé indique la date à laquelle Trojan va se désinstaller du système. Le cheval de Troie efface ensuite son fichier VXD avec des zéros, puis supprime ce fichier.

La deuxième clé est inconnue.

La troisième clé est la clé de registre de chargement automatique qui force Windows à charger et à activer le fichier VXD au démarrage de Windows.

Lorsque le fichier VXD de Troie est activé, la procédure principale de Trojans surveille le processus d'ouverture de fichier et recherche la bibliothèque d'exécution Java JRT3230.DLL. Le cheval de Troie ignore alors le chargement de la bibliothèque, attend que le chargement soit terminé et accroche la fonction Java "do_execute_java_method_vararg".

Le talonneur croise alors toutes les données traitées par cette fonction, y compris les virements bancaires effectués avec le client Xpresso. Le cheval de Troie analyse la structure de la demande de transfert et remplace certains champs de cette requête par d'autres valeurs. Il semble que le cheval de Troie remplace le numéro de compte de la banque de destination d'origine par celui du pirate.


Lien vers l'original