Detection Troyen Zbot.DNK

[multipass]

Salut,

Par curiosité je viens de faire un petit test

Il y a un virus qui est sorti hier (Zbot.DNK) et qu’on a reçu par mail cette nuit (UPS_E9712.zip)
http://www.secuser.com/alertes/2008/zbotdnk.htm


Je l’ai copié et analysé sur http://www.virustotal.com pour voir la réactivité des éditeurs d'antivirus et résultat il n’y a que 57% des Anti-virus qui le détectent, les autres ne l’ont pas intégré dans leurs mises à jour ! ...

c'était juste l'humeur du soir , inutile de tirer des conclusions sur une analyse bien sur, mais bon ça peut donner une idée sur la réactivité si importante ... (ce n'est pas malekal qui dira le contraire je pense)

http://www.virustotal.com/fr/analisis/9 ... fb826dacbf

Antivirus Version Dernière mise à jour Résultat
AhnLab-V3 2008.7.29.1 2008.07.30 -
AntiVir 7.8.1.12 2008.07.30 TR/Spy.ZBot.DKV
Authentium 5.1.0.4 2008.07.30 W32/ZBot!Generic
Avast 4.8.1195.0 2008.07.30 Win32:Zbot-AKQ
AVG 8.0.0.130 2008.07.30 PSW.Generic6.UZW
BitDefender 7.2 2008.07.30 Trojan.Spy.Zbot.IG
CAT-QuickHeal 9.50 2008.07.30 -
ClamAV 0.93.1 2008.07.30 Trojan.Zbot-1729
DrWeb 4.44.0.09170 2008.07.30 -
eSafe 7.0.17.0 2008.07.29 -
eTrust-Vet 31.6.5995 2008.07.30 -
Ewido 4.0 2008.07.30 -
F-Prot 4.4.4.56 2008.07.30 -
F-Secure 7.60.13501.0 2008.07.30 Trojan-Spy.Win32.Zbot.dnk
Fortinet 3.14.0.0 2008.07.30 W32/Agent.BW!tr.spy
GData 2.0.7306.1023 2008.07.30 Trojan-Spy.Win32.Zbot.dnk
Ikarus T3.1.1.34.0 2008.07.30 Trojan-Spy.Win32.Zbot.dnk
Kaspersky 7.0.0.125 2008.07.30 Trojan-Spy.Win32.Zbot.dnk
McAfee 5349 2008.07.29 Spy-Agent.bw.gen
Microsoft 1.3704 2008.07.28 PWS:Win32/Zbot.gen!G
NOD32v2 3310 2008.07.30 Win32/Spy.Agent.NHY
Norman 5.80.02 2008.07.30 W32/ZBot.ARF
Panda 9.0.0.4 2008.07.30 Trj/Agent.JHC
PCTools 4.4.2.0 2008.07.30 -
Prevx1 V2 2008.07.30 -
Rising 20.55.22.00 2008.07.30 -
Sophos 4.31.0 2008.07.30 Mal/EncPk-EI
Sunbelt 3.1.1537.1 2008.07.29 Trojan-Spy.Win32.Zbot.gen (v)
Symantec 10 2008.07.30 Infostealer.Banker.C
TheHacker 6.2.96.389 2008.07.25 -
TrendMicro 8.700.0.1004 2008.07.30 -
VBA32 3.12.8.1 2008.07.29 -
ViRobot 2008.7.30.1317 2008.07.30 -
VirusBuster 4.5.11.0 2008.07.30 -
Webwasher-Gateway 6.6.2 2008.07.30 Trojan.Spy.ZBot.DKV

[Malekal_morte]

Ca doit faire 8 jours que ça se ballade...
et maintenant c'est des sujets eTicket pour billets d'avion..

[multipass]

Ca doit faire 8 jours que ça se ballade...

les principaux éditeur le date du 29 et secuser aussi mais si ça fait bien 8 jours, alors c'est encore pire niveau réactivité
ça sent les vacances

[Malekal_morte]

Pour ton fichier, je sais pas quelle variante, c'est et quelle date.

Ce que je voulais dire, c'est que les premiers Zbot par mail UPS sont du 16 Juillet, ça commence donc à dater :
http://blog.trendmicro.com/trojans-deliver/
http://blog.trendmicro.com/page/3/

C'est pas la première fois que Zbot va par mail, sachant qu'on le voit souvent aussi par cracks et surtout via des exploits sur des sites WEB.

Il y a 4 gros mailling actuellements :
- Storm... comme d'hab depuis + d'un an : http://forum.malekal.com/viewtopic.php?f=46&t=4195
- Exchanger... c'est vieux aussi, mais depuis 1 mois, ils bourrinent à mort : http://forum.malekal.com/trojan-downloa ... 12874.html
- des Droppers pour Antivirus XP 2008 pointent le bout du nez.
- les Zbot que tu mentionnes.

Plus les "trucs habituels" en fond.

Secuser ils sont pas très réactifs, pour les infections MSN, c'était pareil, l'alerte sortait au bout de 4 jours... ce qui est trop lent pour la rapidité de propagation des infections MSN.
Ils sont surement "au bout" après les analyses antivirus, bulletins AV etc... donc forcément..

[multipass]

En fait il s'agit de ZBot.DKV ou ZBot.dnk selon les éditeurs.
bon ce n'est pas bien important de toute façon mais ce qui est plus surprenant c'est qu'il n'y a qu'un antivirus sur 2 qui le détecte au jour d'aujourd'hui ...

[Malekal_morte]

Ben la détection est super bonne là.

[multipass]

Ben la détection est super bonne là.

c'est pas le pérou mais ouais c'est mieux, effectivement , 65% de détection