Troyen
Vundo.B

Vundo.B est un troyen qui se présente sous la forme d'un fichier téléchargé et installé automatiquement lors de la visite de certains sites web douteux si l'internaute utilise une version vulnérable du navigateur Internet Explorer. Le troyen affiche alors des fenêtres publicitaires intempestives, puis télécharge et exécute des programmes adwares sans l'autorisation de l'utilisateur.

PREVENTION :
Les utilisateurs concernés doivent mettre à jour leur antivirus. En cas de doute, les utilisateurs d'Internet Explorer doivent aussi mettre à jour leur système via le service WindowsUpdate afin de corriger une éventuelle faille exploitée par le troyen pour s'exécuter automatiquement à l'insu de l'utilisateur.

DESINFECTION :
Avant de commencer la désinfection, il est impératif de s'assurer avoir appliqué les mesures préventives ci-dessus afin d'empêcher toute réinfection de l'ordinateur par le troyen. Les utilisateurs ne disposant pas d'un antivirus peuvent utiliser gratuitement l'utilitaire de désinfection FxVundoB pour rechercher et éliminer le troyen.

TYPE :
Troyen

SYSTEME(S) CONCERNE(S) :
Windows 95
Windows 98
Windows Me
Windows NT
Windows 2000
Windows XP
Windows 2003

ALIAS :
Vundo (Mc Afee)
Troj/AgentSpy-A (Sophos)
Adware.VirtuMonde (Symantec)
Trojan.Vundo.B (Symantec)

TAILLE :
520.212 octets

DECOUVERTE :
27/04/2005

DESCRIPTION DETAILLEE :
Vundo.B est un troyen (trojan), c'est-à-dire un programme incapable de se multiplier et de se propager par lui-même, contrairement aux virus. Il se présente sous la forme d'un fichier téléchargé et installé automatiquement lors de la visite de certaines pages web douteuses lorsque l'internaute utilise une version vulnérable du navigateur Microsoft Internet Explorer.

Le troyen s'installe alors dans un répertoire sous un nom aléatoire avec une extension en .DLL, puis modifie la base de registres afin d'être exécuté à chaque démarrage de l'ordinateur. Vundo.B déclenche l'affichage de fenêtres publicitaires intempestives, puis tente de télécharger et d'exécuter des adwares (programmes affichant des publicités) sans autorisation.

détecte et élimine le troyen Trojan.Abwiz.F.

Détecté : 22 Mars 2006

Evaluation de la menace

Virulence

• Niveau de virulence : Moyen
• Nombre d'infections : 0 - 49
• Nombre de sites : 0 - 2
• Distribution géographique : Faible
• Contrôle de la menace : Facile
• Suppression : Facile

Dommages

• Niveau de dommage : Moyen
• Déclencheur : Ne s'applique pas
• Charge utile : Télécharge et exécute des fichiers distants et permet également à un attaquant distant d'effectuer diverses actions non autorisées sur l'ordinateur infecté.
• Envoi de courrier électronique à grande échelle : Ne s'applique pas
• Supprime les fichiers : Ne s'applique pas
• Modifie les fichiers : Ne s'applique pas
• Divulgue des informations confidentielles : Envoie des informations informatiques confidentielles à un attaquant distant.
• Dégrade les performances : Transmet du spam.
• Entraîne l'instabilité du système : Ne s'applique pas
• Compromet les paramètres de sécurité : Ne s'applique pas

Distribution

• Niveau de distribution : Faible
• Objet du courrier électronique : Ne s'applique pas
• Nom de la pièce jointe : Ne s'applique pas
• Taille de la pièce jointe : Ne s'applique pas
• Ports : Ne s'applique pas
• Lecteurs partagés : Ne s'applique pas
• Cible d'infection : Ne s'applique pas
• Horodatage de la pièce jointe : Ne s'applique pas

1. Se copie lui-même comme %System%\taskdir.exe.
   
   Remarque : %System% est une variable qui fait référence au dossier System. Il s'agit par défaut de C:\Windows\System (Windows 95/98/Me), C:\Winnt\System32 (Windows NT/2000) ou C:\Windows\System32 (Windows XP).
   
   
2. Dépose le fichier %System%\taskdir.dll, et l'ajoute à tous les processus en cours d'exécution. Ce fichier dll contient les fonctions rootkit du cheval de Troie. Il cache les fichiers et les processus contenant la chaîne "taskdir". Il cache également les valeurs de registre contenant la chaîne "taskdir".
   
   
3. Dépose le fichier inoffensif %System%\zlbw.dll.
   
   
4. Ajoute la valeur :
   
   "taskdir" = "%System%\taskdir.exe"
   
   à la sous-clé de registre :
   
   HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
   
   de sorte qu'il s'exécute à chaque démarrage de Windows.
   
   
5. Envoie des informations sur l'ordinateur infecté par l'intermédiaire du protocole HTTP à l'adresse IP suivante :
   
   [http://]216.255.179.235/new/cls/main[SUPPRIME]
   
   
6. Vérifie la présence de la connexion Internet et essaye de télécharger un fichier de configuration, enregistré à partir des sites suivants :
   
   
   • [http://]216.255.179.235/new/cntr/ab.[SUPPRIME]
   • [http://]69.50.171.172/n/ab.[SUPPRIME]
   • [http://]69.50.161.106/n/ab.[SUPPRIME]
   • [http://]69.50.184.194/n/ab.[SUPPRIME]
     
     
7. Télécharge et exécute des mises à jour de lui-même à partir de l'URL suivante :
   
   [http://]216.255.179.235/new/cntr/bin/lat2[SUPPRIME]
   
   
8. Ajoute les valeurs :
   
   "ColorTable19" = "[DONNEES DU CHEVAL DE TROIE]"
   "ColorTable20" = "[DONNEES DU CHEVAL DE TROIE]"
   
   à la sous-clé de registre :
   
   HKEY_CURRENT_USER
   
   pour stocker des données de configuration.
   
   
9. Ce cheval de Troie peut être utilisé pour transmettre du spam.

Recommandations

Symantec Security Response encourage tous les utilisateurs et les administrateurs à adhérer aux "pratiques d'excellence" suivantes en matière de sécurité :