Spyware Guard 2008

[Malekal_morte]

Spyware Guard 2008 est un rogue (faux anti-spyware) qui s'installe sans permission, le malware affiche de fausses alertes vous indiquant que vous êtes infecté par un spyware et vous recommande d'acheter ce faux anti-spyware pour soit disant désinfecter votre ordinateur.





Quelques exemples de captures des Fausses pages de scan/alerte de sécurité

[Malekal_morte]

Fake Alert :

Code : Tout sélectionner

1226329742.165   1602 192.168.1.63 TCP_MISS/200 12184 GET http://sgscanner.com/sg1/1/10119 - DIRECT/116.50.14.185 text/html
1226329742.366    882 192.168.1.63 TCP_MISS/200 4262 GET http://sgscanner.com/css/sg1.css - DIRECT/116.50.14.185 text/css
1226329743.379   1894 192.168.1.63 TCP_MISS/200 30187 GET http://sgscanner.com/js/jquery-1.2.3.pack.js - DIRECT/116.50.14.185 application/x-javascript
1226329744.315    936 192.168.1.63 TCP_MISS/200 2853 GET http://sgscanner.com/js/jquery.dimensions.min.js - DIRECT/116.50.14.185 application/x-javascript
1226329745.414   1024 192.168.1.63 TCP_MISS/200 4484 GET http://sgscanner.com/js/cookie.js - DIRECT/116.50.14.185 application/x-javascript
1226329746.298    884 192.168.1.63 TCP_MISS/200 736 GET http://sgscanner.com/js/counter.js - DIRECT/116.50.14.185 application/x-javascript

Domain Name: SGSCANNER.COM
Registrar: REGTIME LTD.
Whois Server: whois.regtime.net
Referral URL: http://www.webnames.ru
Name Server: NS1.SGSCANNER.COM
Name Server: NS2.SGSCANNER.COM
Status: ok
Updated Date: 07-nov-2008
Creation Date: 24-oct-2008
Expiration Date: 24-oct-2009

Registrant:
Vrenk Tihomil
Email: [email protected]
Organization: Private person
Address: Kolodvorska 73, Sl3270 Lasko
City: Lasko
State: LaskoLasko
ZIP: Sl1355
Country: SI
Phone: +386.14588324
Fax:
Administrative Contact:
Vrenk Tihomil
Email: [email protected]
Organization: Private person
Address: Kolodvorska 73, Sl3270 Lasko
City: Lasko
State: LaskoLasko
ZIP: Sl1355
Country: SI
Phone: +386.14588324

Installer :

Code : Tout sélectionner

1226329770.644     24 192.168.1.63 TCP_MISS/000 0 GET http://getsg2008.com/install.php?track_id=10119 - DIRECT/getsg2008.com -
1226329771.963   2511 192.168.1.63 TCP_MISS/200 73573 GET http://getsg2008.com/install.php?track_id=10119 - DIRECT/116.50.14.185 application/octet-stream

Domain Name: GETSG2008.COM
Registrar: XIN NET TECHNOLOGY CORPORATION
Whois Server: whois.paycenter.com.cn
Referral URL: http://www.xinnet.com
Name Server: NS1.GETSG2008.COM
Name Server: NS2.GETSG2008.COM
Status: ok
Updated Date: 21-sep-2008
Creation Date: 21-sep-2008
Expiration Date: 21-sep-2009

Registrant:
Organization : Jiang Hui
Name : ellaxu
Address : bei jing shi hai ding qu zhi chun lu 108 hao
City : haidingqu
Province/State : Beijing
Country : cn
Postal Code : 100086

Administrative Contact:
Name : ellaxu
Organization : ellaxu
Address : bei jing shi hai ding qu zhi chun lu 108 hao
City : haidingqu
Province/State : Beijing
Country : cn
Postal Code : 100086
Phone Number : 86-106-2122444
Fax : 86-106-2123234
Email : [email protected]

Technical Contact:
Name : ellaxu
Organization : ellaxu
Address : bei jing shi hai ding qu zhi chun lu 108 hao
City : haidingqu
Province/State : Beijing
Country : cn
Postal Code : 100086
Phone Number : 86-106-2122444
Fax : 86-106-2123234
Email : [email protected]

[Malekal_morte]

infection Trojan.FakeAlert et TDSServ installant le rogue Spyware Guard 2008

Le processus "C:\Documents and Settings\All Users\Application Data\Microsoft\Protect\svhost.exe" /p
qui charge c:\Windows\system32\winscenter.exe (faux centre de sécurité)
et le rogue Spyware Guard 2008

O4 - HKLM\..\Run: [spywareguard] C:\Program Files\Spyware Guard 2008\spywareguard.exe
O21 - SSODL: ieModule - {3FB67326-55B7-4A2E-9D53-5630546E2968} - C:\Documents and Settings\All Users\Application Data\Microsoft\Internet Explorer\DLLs\ieModule.dll
O21 - SSODL: InternetConnection - {44AE3D1D-4490-4EFF-8022-D7B4CEC46A91} - C:\Documents and Settings\All Users\Application Data\Microsoft\Internet Explorer\DLLs\bmppthklny.dll

La page Google est hijackée (principe déjà décrit avec le rogue Smart Antivirus 2009), les polices de caractères de la page Google sont plus grosses.
De plus, si on pointe la souris sur un lien, aucune adresse Google n'est donnée.

TDDServ se charge d'effectuer des redirections lors des recherches Google.

[Malekal_morte]

Code : Tout sélectionner

1230477708.685    500 192.168.1.63 TCP_MISS/302 349 GET http://cleanredirec777.net/1/?wmid=totosamzz - DIRECT/64.86.16.3 text/html

Code : Tout sélectionner

1230477719.239  10468 192.168.1.63 TCP_MISS/200 12201 GET http://sgviralscan.com/sg1/1/10147 - DIRECT/78.26.179.253 text/html

Domain Name: SGVIRALSCAN.COM
Registrar: REGTIME LTD.
Whois Server: whois.regtime.net
Referral URL: http://www.webnames.ru
Name Server: NS1.SGDLDNS1.COM
Name Server: NS2.SGDLDNS1.COM
Status: ok
Updated Date: 19-dec-2008
Creation Date: 18-dec-2008
Expiration Date: 18-dec-2009

Name servers:
ns1.sgdldns1.com
ns2.sgdldns1.com

Registrar: Regtime Ltd.
Creation date: 2008-12-18
Expiration date: 2009-12-18

Registrant:
Almin Cepek
Email: [email protected]
Organization: Private person
Address: Gosposka ulica 108
City: Podgorci
State: Podgorci
ZIP: Sl2297
Country: SI
Phone: +386.77744455

Code : Tout sélectionner

1230477755.355    271 192.168.1.63 TCP_MISS/200 68458 GET http://78.159.96.252/install.php?track_id=10147 - DIRECT/78.159.96.252 application/octet-stream
1230477756.643    279 192.168.1.63 TCP_MISS/200 68458 GET http://89.149.251.253/install.php?track_id=10147 - DIRECT/89.149.251.253 application/octet-stream