détecte et élimine le troyen Trojan.Abwiz.F.

Détecté : 22 Mars 2006

Evaluation de la menace

Virulence

• Niveau de virulence : Moyen
• Nombre d'infections : 0 - 49
• Nombre de sites : 0 - 2
• Distribution géographique : Faible
• Contrôle de la menace : Facile
• Suppression : Facile

Dommages

• Niveau de dommage : Moyen
• Déclencheur : Ne s'applique pas
• Charge utile : Télécharge et exécute des fichiers distants et permet également à un attaquant distant d'effectuer diverses actions non autorisées sur l'ordinateur infecté.
• Envoi de courrier électronique à grande échelle : Ne s'applique pas
• Supprime les fichiers : Ne s'applique pas
• Modifie les fichiers : Ne s'applique pas
• Divulgue des informations confidentielles : Envoie des informations informatiques confidentielles à un attaquant distant.
• Dégrade les performances : Transmet du spam.
• Entraîne l'instabilité du système : Ne s'applique pas
• Compromet les paramètres de sécurité : Ne s'applique pas

Distribution

• Niveau de distribution : Faible
• Objet du courrier électronique : Ne s'applique pas
• Nom de la pièce jointe : Ne s'applique pas
• Taille de la pièce jointe : Ne s'applique pas
• Ports : Ne s'applique pas
• Lecteurs partagés : Ne s'applique pas
• Cible d'infection : Ne s'applique pas
• Horodatage de la pièce jointe : Ne s'applique pas

1. Se copie lui-même comme %System%\taskdir.exe.
   
   Remarque : %System% est une variable qui fait référence au dossier System. Il s'agit par défaut de C:\Windows\System (Windows 95/98/Me), C:\Winnt\System32 (Windows NT/2000) ou C:\Windows\System32 (Windows XP).
   
   
2. Dépose le fichier %System%\taskdir.dll, et l'ajoute à tous les processus en cours d'exécution. Ce fichier dll contient les fonctions rootkit du cheval de Troie. Il cache les fichiers et les processus contenant la chaîne "taskdir". Il cache également les valeurs de registre contenant la chaîne "taskdir".
   
   
3. Dépose le fichier inoffensif %System%\zlbw.dll.
   
   
4. Ajoute la valeur :
   
   "taskdir" = "%System%\taskdir.exe"
   
   à la sous-clé de registre :
   
   HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
   
   de sorte qu'il s'exécute à chaque démarrage de Windows.
   
   
5. Envoie des informations sur l'ordinateur infecté par l'intermédiaire du protocole HTTP à l'adresse IP suivante :
   
   [http://]216.255.179.235/new/cls/main[SUPPRIME]
   
   
6. Vérifie la présence de la connexion Internet et essaye de télécharger un fichier de configuration, enregistré à partir des sites suivants :
   
   
   • [http://]216.255.179.235/new/cntr/ab.[SUPPRIME]
   • [http://]69.50.171.172/n/ab.[SUPPRIME]
   • [http://]69.50.161.106/n/ab.[SUPPRIME]
   • [http://]69.50.184.194/n/ab.[SUPPRIME]
     
     
7. Télécharge et exécute des mises à jour de lui-même à partir de l'URL suivante :
   
   [http://]216.255.179.235/new/cntr/bin/lat2[SUPPRIME]
   
   
8. Ajoute les valeurs :
   
   "ColorTable19" = "[DONNEES DU CHEVAL DE TROIE]"
   "ColorTable20" = "[DONNEES DU CHEVAL DE TROIE]"
   
   à la sous-clé de registre :
   
   HKEY_CURRENT_USER
   
   pour stocker des données de configuration.
   
   
9. Ce cheval de Troie peut être utilisé pour transmettre du spam.

Recommandations

Symantec Security Response encourage tous les utilisateurs et les administrateurs à adhérer aux "pratiques d'excellence" suivantes en matière de sécurité :