Que font ces chevaux de Troie

mercredi 22 octobre 2003 à 9h06 Par Michaël Mulkens Actualité n° 1989

L'excellent site de zatazprésente une petite analyse de quatre (dont un worm) de ces "programmes" indésirables.

"Esepor.A est un cheval de Troie qui s'introduit sur les ordinateurs dans un fichier nommé TMKSRVL.EXE. Lorsque ce fichier est exécuté, le cheval de Troie vérifie s'il existe une connexion Internet ouverte et, s'il y en a une, il télécharge automatiquement et exécute un fichier nommé XPINSTALL.EXE. Ce fichier crée et enregistre une bibliothèque de lien dynamique appelée XPLUGIN.DLL, qui est un plug-in d'Internet Explorer qui devient résidant en mémoire lorsque l'utilisateur se connecte à Internet au moyen de ce navigateur. Esepor.A est facile à reconnaître : il affiche un message publicitaire dynamique au contenu pornographique.

Le deuxième cheval de Troie du rapport d'aujourd'hui est Mafia.A, qui recherche des mots de passe de comptes de courrier électronique Outlook Express (SMTP, POP3 et HTTP-Mail) dans le Registre Windows et récupère des informations sur les disques durs, la mémoire installée, le système d'exploitation, le nom d'utilisateur, le microprocesseur, etc. Sur les ordinateurs utilisant Windows .NET Server/XP/2000/NT, il recherche également des mots de passe en mémoire cache. Ce code malveillant envoi ensuite par e-mail les informations qu'il a obtenues.

Istbar.K est un cheval de Troie qui, lorsque l'utilisateur visite certaines pages Web, affiche à l'écran un message lui demandant de confirmer s'il est possible d'exécuter du code ActiveX sur l'ordinateur. Si l'utilisateur clique sur Oui, le code ActiveX télécharge et installe plusieurs programmes espions et numéroteurs malveillants, et affiche des pages Web publicitaires au contenu pornographique. Istbar.K ajoute aussi une barre d'outils à Internet Explorer et change la page d'accueil de ce navigateur.

Le dernier code malveillant du rapport d'aujourd'hui est Logpole.A, un ver qui se propage par l'intermédiaire du programme de partage de fichiers de poste à poste KaZaA. Lorsqu'il est lancé, ce code malveillant devient résidant en mémoire. Logpole.A est difficile à reconnaître, car il n'affiche ni avertissements ni message indiquant qu'il a infecté l'ordinateur."

On ne le rappellera jamais assez tenez vous au courant et protégez vous !

Source : Zataz