CCleaner

CCleaner est destiné à optimiser ainsi qu’à nettoyer le système.
Le logiciel retire les fichiers inutilisés de vos disques durs, les raccourcis sans cible, les contrôles ActiveX, les fichiers d’aide, les entrées dans le registre, etc. afin de libérer de l’espace et améliorer le chargement de Windows. CCleaner est également en mesure d’effacer toute trace de vos navigations sur le Web en quelques secondes. L’application supprime les fichiers temporaires, l’historique des sites visités, les cookies, les formulaires, etc. CCleaner prend en charge Internet Explorer, Opera et Mozilla Firefox. Enfin, le programme peut supprimer les documents temporaires de nombreuses applications, tels que eMule, KaZaA, Google Toolbar, Office, Nero, Acrobat, WinRAR, etc.

Taille :		2.79 Mo
	Version :		2.11.636
	Configuration minimale :		Windows 9x/2000/XP/Vista
	Temps du téléchargement
	en 56 K :		6 min et 48 s
	en 512 K :		44 secondes
	en 1024 K :		22 secondes
	en 2 M :		11 secondes
	en 5 M :		4 secondes
	Licence :		Gratuit
	Rubrique :		Utilitaires
	Sous rubrique :		Nettoyeurs et installateurs
	Langue :		Français et Anglais
	Auteur / Éditeur :		Piriform Ltd.

Version 2-11

Fix vundo B

Troyen
Vundo.B

Vundo.B est un troyen qui se présente sous la forme d'un fichier téléchargé et installé automatiquement lors de la visite de certains sites web douteux si l'internaute utilise une version vulnérable du navigateur Internet Explorer. Le troyen affiche alors des fenêtres publicitaires intempestives, puis télécharge et exécute des programmes adwares sans l'autorisation de l'utilisateur.

PREVENTION :
Les utilisateurs concernés doivent mettre à jour leur antivirus. En cas de doute, les utilisateurs d'Internet Explorer doivent aussi mettre à jour leur système via le service WindowsUpdate afin de corriger une éventuelle faille exploitée par le troyen pour s'exécuter automatiquement à l'insu de l'utilisateur.

DESINFECTION :
Avant de commencer la désinfection, il est impératif de s'assurer avoir appliqué les mesures préventives ci-dessus afin d'empêcher toute réinfection de l'ordinateur par le troyen. Les utilisateurs ne disposant pas d'un antivirus peuvent utiliser gratuitement l'utilitaire de désinfection FxVundoB pour rechercher et éliminer le troyen.

TYPE :
Troyen

SYSTEME(S) CONCERNE(S) :
Windows 95
Windows 98
Windows Me
Windows NT
Windows 2000
Windows XP
Windows 2003

ALIAS :
Vundo (Mc Afee)
Troj/AgentSpy-A (Sophos)
Adware.VirtuMonde (Symantec)
Trojan.Vundo.B (Symantec)

TAILLE :
520.212 octets

DECOUVERTE :
27/04/2005

DESCRIPTION DETAILLEE :
Vundo.B est un troyen (trojan), c'est-à-dire un programme incapable de se multiplier et de se propager par lui-même, contrairement aux virus. Il se présente sous la forme d'un fichier téléchargé et installé automatiquement lors de la visite de certaines pages web douteuses lorsque l'internaute utilise une version vulnérable du navigateur Microsoft Internet Explorer.

Le troyen s'installe alors dans un répertoire sous un nom aléatoire avec une extension en .DLL, puis modifie la base de registres afin d'être exécuté à chaque démarrage de l'ordinateur. Vundo.B déclenche l'affichage de fenêtres publicitaires intempestives, puis tente de télécharger et d'exécuter des adwares (programmes affichant des publicités) sans autorisation.

Version 1

FixAbwiz.exe

détecte et élimine le troyen Trojan.Abwiz.F.

Détecté : 22 Mars 2006

Mis à jour : 13 Février 2007 12:51:25 PM

Egalement appelé : Troj/DwnLdr-AKR [Sophos]

Type : Trojan Horse

Systèmes affectés : Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003, Windows XP

Evaluation de la menace

Virulence

Niveau de virulence : Moyen
Nombre d'infections : 0 - 49
Nombre de sites : 0 - 2
Distribution géographique : Faible
Contrôle de la menace : Facile
Suppression : Facile

Dommages

Niveau de dommage : Moyen
Déclencheur : Ne s'applique pas
Charge utile : Télécharge et exécute des fichiers distants et permet également à un attaquant distant d'effectuer diverses actions non autorisées sur l'ordinateur infecté.
Envoi de courrier électronique à grande échelle : Ne s'applique pas
Supprime les fichiers : Ne s'applique pas
Modifie les fichiers : Ne s'applique pas
Divulgue des informations confidentielles : Envoie des informations informatiques confidentielles à un attaquant distant.
Dégrade les performances : Transmet du spam.
Entraîne l'instabilité du système : Ne s'applique pas
Compromet les paramètres de sécurité : Ne s'applique pas

Distribution

Niveau de distribution : Faible
Objet du courrier électronique : Ne s'applique pas
Nom de la pièce jointe : Ne s'applique pas
Taille de la pièce jointe : Ne s'applique pas
Ports : Ne s'applique pas
Lecteurs partagés : Ne s'applique pas
Cible d'infection : Ne s'applique pas
Horodatage de la pièce jointe : Ne s'applique pas

Lorsque Trojan.Abwiz.F s'exécute, il réalise les opérations suivantes :

Se copie lui-même comme %System%\taskdir.exe.

Remarque : %System% est une variable qui fait référence au dossier System. Il s'agit par défaut de C:\Windows\System (Windows 95/98/Me), C:\Winnt\System32 (Windows NT/2000) ou C:\Windows\System32 (Windows XP).
Dépose le fichier %System%\taskdir.dll, et l'ajoute à tous les processus en cours d'exécution. Ce fichier dll contient les fonctions rootkit du cheval de Troie. Il cache les fichiers et les processus contenant la chaîne "taskdir". Il cache également les valeurs de registre contenant la chaîne "taskdir".
Dépose le fichier inoffensif %System%\zlbw.dll.
Ajoute la valeur :

"taskdir" = "%System%\taskdir.exe"

à la sous-clé de registre :

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

de sorte qu'il s'exécute à chaque démarrage de Windows.
Envoie des informations sur l'ordinateur infecté par l'intermédiaire du protocole HTTP à l'adresse IP suivante :

[http://]216.255.179.235/new/cls/main[SUPPRIME]
Vérifie la présence de la connexion Internet et essaye de télécharger un fichier de configuration, enregistré à partir des sites suivants :
- [http://]216.255.179.235/new/cntr/ab.[SUPPRIME]
- [http://]69.50.171.172/n/ab.[SUPPRIME]
- [http://]69.50.161.106/n/ab.[SUPPRIME]
- [http://]69.50.184.194/n/ab.[SUPPRIME]
Télécharge et exécute des mises à jour de lui-même à partir de l'URL suivante :

[http://]216.255.179.235/new/cntr/bin/lat2[SUPPRIME]
Ajoute les valeurs :

"ColorTable19" = "[DONNEES DU CHEVAL DE TROIE]""ColorTable20" = "[DONNEES DU CHEVAL DE TROIE]"
à la sous-clé de registre :

HKEY_CURRENT_USER

pour stocker des données de configuration.
Ce cheval de Troie peut être utilisé pour transmettre du spam.

Recommandations

Symantec Security Response encourage tous les utilisateurs et les administrateurs à adhérer aux "pratiques d'excellence" suivantes en matière de sécurité :

Désactivez et supprimez les services inutiles. De nombreux systèmes d'exploitation installent par défaut des services auxiliaires qui ne sont pas importants, tels qu'un serveur FTP, telnet et un serveur Web. Ces services sont des portes ouvertes aux attaques. Si vous les supprimez, les menaces combinées ont moins de possibilité d'attaque et vous avez moins de services à protéger grâce aux mises à jour des correctifs.
Si une menace combinée exploite des services réseau, désactivez ou bloquez l'accès à ces services jusqu'à ce qu'un correctif soit appliqué.
Installez toujours les dernières versions de correctifs, en particulier sur les ordinateurs qui accueillent des services publics et qui sont accessibles via le pare-feu, tels que les services HTTP, FTP, la messagerie électronique et le DNS. Ainsi, il est recommandé d'installer le Service Pack le plus récent sur tous vos ordinateurs fonctionnant sous Windows. En outre, il est recommandé d'appliquer toutes les mises à jour de sécurité mentionnées dans cet article, dans les bulletins de sécurité reconnus ou sur les sites Internet de vos fournisseurs.
Instaurez une politique de mot de passe. Il est plus difficile d'accéder aux fichiers protégés par mot de passe sur les ordinateurs infectés si le mot de passe est complexe. Cela permet d'empêcher ou de limiter les dommages causés lorsque la sécurité d'un ordinateur est compromise.
Configurez votre serveur de courrier électronique afin qu'il bloque ou supprime les messages électroniques dont les pièces jointes sont des fichiers couramment utilisés pour diffuser des virus, tels que les fichiers .vbs, .bat, .exe, .pif ou .scr.
Isolez rapidement les ordinateurs infectés afin d'empêcher une autre attaque au sein de votre entreprise. Effectuez une analyse des incidents et restaurez les ordinateurs à l'aide de supports approuvés.
Demandez à vos employés de ne pas ouvrir de pièces jointes de source inconnue ou non sollicitées. De même, ne lancez pas de logiciel téléchargé depuis Internet avant qu'il n'ait fait l'objet d'une recherche de virus. Une simple visite d'un site Internet infecté peut causer une attaque si certaines vulnérabilités du navigateur n'ont pas été corrigées.

Version 1