http://my-secret-gallery-download.com/pic_gallery.php

[Malekal_morte]

Nouveau vers MSN envoyant le lien suivant :

Code : Tout sélectionner

http://my-secret-gallery-download.com/pic_gallery.php

ver MSN utilisant le social engineering pour duper les utilisateurs MSN. N'ouvre pas de zip de photos, webcam etc... sur MSN, pour plus d'informations sur les infections MSN, voir ce lien : http://forum.malekal.com/viewtopic.php?f=45&t=9130

Si l'internaute clic sur le lien hxp://my-secret-gallery-download.com/pic_gallery.php le fichier, l'infection s'installe sur le système.

Pour supprimer cette infection, suivez la procédure de désinfection de la page suivante : https://www.malekal.com/VIRUS_MSN.php et/ou utiliser MSNFix : https://www.malekal.com/tutorial_MSNFix.php

Réfléchir avant de clic sur un lien.

File 76473_6121703_pic_gallery received on 05.17.2009 17:56:11 (CET)
Current status: finished
Result: 2/40 (5.00%)
Compact Compact
Print results Print results
Antivirus Version Last Update Result
a-squared 4.0.0.101 2009.05.17 -
AhnLab-V3 5.0.0.2 2009.05.16 -
AntiVir 7.9.0.168 2009.05.17 -
Antiy-AVL 2.0.3.1 2009.05.15 -
Authentium 5.1.2.4 2009.05.16 -
Avast 4.8.1335.0 2009.05.16 -
AVG 8.5.0.336 2009.05.16 -
BitDefender 7.2 2009.05.17 -
CAT-QuickHeal 10.00 2009.05.15 -
ClamAV 0.94.1 2009.05.16 -
Comodo 1157 2009.05.08 -
DrWeb 5.0.0.12182 2009.05.17 -
eSafe 7.0.17.0 2009.05.17 -
eTrust-Vet 31.6.6508 2009.05.16 -
F-Prot 4.4.4.56 2009.05.17 -
F-Secure 8.0.14470.0 2009.05.16 -
Fortinet 3.117.0.0 2009.05.17 -
GData 19 2009.05.17 -
Ikarus T3.1.1.49.0 2009.05.17 -
K7AntiVirus 7.10.737 2009.05.16 -
Kaspersky 7.0.0.125 2009.05.17 -
McAfee 5618 2009.05.17 New Malware.ix
McAfee+Artemis 5618 2009.05.17 Artemis!FA0E304FA4C1
McAfee-GW-Edition 6.7.6 2009.05.17 -
Microsoft 1.4602 2009.05.17 -
NOD32 4080 2009.05.15 -
Norman 6.01.05 2009.05.16 -
nProtect 2009.1.8.0 2009.05.17 -
Panda 10.0.0.14 2009.05.17 -
PCTools 4.4.2.0 2009.05.17 -
Prevx 3.0 2009.05.17 -
Rising 21.29.62.00 2009.05.17 -
Sophos 4.41.0 2009.05.17 -
Sunbelt 3.2.1858.2 2009.05.16 -
Symantec 1.4.4.12 2009.05.17 -
TheHacker 6.3.4.1.326 2009.05.17 -
TrendMicro 8.950.0.1092 2009.05.15 -
VBA32 3.12.10.5 2009.05.17 -
ViRobot 2009.5.15.1737 2009.05.15 -
VirusBuster 4.6.5.0 2009.05.16 -
Additional information
File size: 31745 bytes
MD5...: fa0e304fa4c11a89a2345e009ecebf1c
SHA1..: 2a0f4832dded71efe07cbb46ca19f993c079ff2f

[Malekal_morte]

Charge une image joke.gif de 123Greetings.com (voir plus bas) avec le message suivant :

Hey! Now that i got looking!
Hello!
Wassup with ya?

Ajoute les fichiers suivants :

C:\WINDOWS\spinestri32.exe
C:\WINDOWS\stnetlib.exe

L'un étant chargé par une clef Run l'autre par la clef HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\Intel Physical Routine 1.2A

Parent process:
Path: C:\Documents and Settings\Malekal_morte\Desktop\image_gallery.scr
PID: 1740
Information: CTF Loader (Microsoft Corporation)
Child process:
Path: C:\WINDOWS\spinestri32.exe
Command line:"C:\WINDOWS\spinestri32.exe"

Parent process:
Path: C:\Documents and Settings\Malekal_morte\Desktop\image_gallery.scr
PID: 1740
Information: CTF Loader (Microsoft Corporation)
Child process:
Path: C:\WINDOWS\system32\rundll32.exe
Information: Run a DLL as an App (Microsoft Corporation)
Command line:"rundll32.exe" C:\WINDOWS\system32\shimgvw.dll,ImageView_Fullscreen C:\WINDOWS\joke.gif

Process:
Path: C:\WINDOWS\spinestri32.exe
PID: 396
Registry Group: System
Object:
Registry key: HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\Intel Physical Routine 1.2A

Code : Tout sélectionner

1242577011.456   1375 192.168.1.25 TCP_MISS/200 220118 GET http://emdownloadin.com/exes/msn_file.php?getf=imsn&routine=download&magnify=true&init=1&core=zoom&notify=true&unit=1&chinpin=greynwhite&hc4g=hc4gqqxj2cek - DIRECT/72.232.206.42 application/force-download

Process:
Path: C:\WINDOWS\spinestri32.exe
PID: 396
Registry Group: System
Object:
Registry key: HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\Intel Physical Routine 1.2A
Registry value: StubPath
Type: REG_SZ
Value: C:\WINDOWS\stnetlib.exe

Process:
Path: C:\WINDOWS\spinestri32.exe
PID: 396
Registry Group: User AutoRun
Object:
Registry key: HKCU\Software\Microsoft\Windows\CurrentVersion\Run
Registry value: Intel Physical Routine 1.2A
Type: REG_SZ
Value: C:\WINDOWS\stnetlib.exe