XP Internet Security

[Malekal_morte]

XP Internet Security est un rogue (faux anti-spyware) qui s'installe sans permission, le malware affiche de fausses alertes vous indiquant que vous êtes infecté par un spyware et vous recommande d'acheter ce faux anti-spyware pour soit disant désinfecter votre ordinateur.

Done !
MD5 : 0857f6adfe11e3424ec7e7603908265a
Date : 2010.02.27 08:48:18 (UTC)
Results : 31/41
Virus Names : Trojan.FakeAV Heuristic.LooksLike.Trojan.Drop.Mudrop.H Trojan-Downloader:W32/FraudLoad.KQ
Permalink : http://www.virustotal.com/analisis/2385 ... 1267260498

The results for settings.exe are :
F-Secure 9.0.15370.0 2010.02.27 Trojan-Downloader:W32/FraudLoad.KQ
DrWeb 5.0.1.12222 2010.02.27 Trojan.Fakealert.11956
BitDefender 7.2 2010.02.27 Trojan.FakeAv.KRW
McAfee-GW-Edition 6.8.5 2010.02.27 Heuristic.LooksLike.Trojan.Drop.Mudrop.H
AVG 9.0.0.730 2010.02.26 Downloader.Agent2.SOT
GData 19 2010.02.27 Trojan.FakeAv.KRW
Microsoft 1.5502 2010.02.27 Trojan:Win32/FakeRean
PCTools 7.0.3.5 2010.02.27 Trojan.FakeAV
Symantec 20091.2.0.41 2010.02.27 Trojan.FakeAV
Sophos 4.50.0 2010.02.27 Mal/Spy-G
ClamAV 0.96.0.0-git 2010.02.27 Trojan.FraudLoad-3256
Sunbelt 5702 2010.02.27 Trojan.Win32.Generic!BT
Kaspersky 7.0.0.125 2010.02.27 Trojan.Win32.FraudPack.amoz
McAfee+Artemis 5904 2010.02.26 Artemis!0857F6ADFE11
a-squared 4.5.0.50 2010.02.27 Trojan.Win32.FakeAV!IK
Norman 6.04.08 2010.02.27 W32/FakeAV.LJI
AhnLab-V3 5.0.0.2 2010.02.26 Win-Trojan/Fakeav.200704.C
NOD32 4899 2010.02.26 Win32/Adware.XPAntiSpyware.AA
Ikarus T3.1.1.80.0 2010.02.27 Trojan.Win32.FakeAV
AntiVir 8.2.1.176 2010.02.26 TR/FraudPack.amoz
CAT-QuickHeal 10.00 2010.02.27 (Suspicious) - DNAScan
eTrust-Vet 35.2.7331 2010.02.26 Win32/XPInternetSecurity.D
Rising 22.36.05.04 2010.02.27 Trojan.Win32.Generic.51FA09EC
Avast 4.8.1351.0 2010.02.27 Win32:FakeRean-D
Panda 10.0.2.2 2010.02.26 Adware/Antivirus2010
TheHacker 6.5.1.6.213 2010.02.27 Trojan/Kryptik.bbe
Avast5 5.0.332.0 2010.02.26 Win32:FakeRean-D
TrendMicro 9.120.0.1004 2010.02.27 TROJ_FAKEAV.EAO
F-Prot 4.5.1.85 2010.02.26 W32/Trojan2.MFUH
Authentium 5.2.0.5 2010.02.27 W32/Trojan2.MFUH
Prevx 3.0 2010.02.27 High Risk Fraudulent Security Program
Comodo 4081 2010.02.27 TrojWare.Win32.Trojan.Agent.Gen

[Malekal_morte]

A noter que le rogue se lance par les open command ce qui signifie qu'il va démarrer avec n'importe quel exe.
Si vous supprimer le av.exe en question, plus aucun executable ne sera fonctionnel.

Attention donc aux antivirus qui ne nettoyent pas le registre.

HKEY_CURRENT_USER\Software\Classes\secfile\shell\open\command "(Default)"
Type: REG_SZ
Data: "C:\Documents and Settings\Mak\Local Settings\Application Data\av.exe" /START "%1" %*
HKEY_CURRENT_USER\Software\Classes\secfile\shell\open\command "IsolatedCommand"

HKEY_USERS\S-1-5-21-823518204-725345543-786100373-1003_Classes\.exe\shell\open\command "(Default)"
Type: REG_SZ
Data: "C:\Documents and Settings\Mak\Local Settings\Application Data\av.exe" /START "%1" %*