Backdoor.Win32.SdBot.bgc / Win32:Agent-EIE [Trj]

[Malekal_morte]

Backdoor.Win32.SdBot.bgc / Win32:Agent-EIE [Trj] est un vers qui se proprage par MSN Messenger et AOL Messenger.

Il envoie me message suivant suivi d'une adresse pour contaminé la personne qui télécharge et execute le fichier :
OMG just accept please its only my photo album!!

Supprimer Backdoor.Win32.SdBot.bgc / Win32:Agent-EIE [Trj]

[Malekal_morte]

O21 - SSODL: syshelps - {C86E63F5-1EF3-4AE4-B597-FF092D42CC38} - syshelps.dll

Complete scanning result of "syshelps.dll", received in VirusTotal at 06.07.2007, 17:59:49 (CET).

Antivirus Version Update Result
AhnLab-V3 2007.5.31.2 06.07.2007 Win-Trojan/ShadoBot.22016.B
AntiVir 7.4.0.32 06.07.2007 no virus found
Authentium 4.93.8 05.23.2007 no virus found
Avast 4.7.997.0 06.07.2007 no virus found
AVG 7.5.0.467 06.07.2007 no virus found
BitDefender 7.2 06.07.2007 no virus found
CAT-QuickHeal 9.00 06.07.2007 no virus found
ClamAV devel-20070416 06.07.2007 no virus found
DrWeb 4.33 06.07.2007 Win32.HLLW.Sodoku
eSafe 7.0.15.0 06.06.2007 no virus found
eTrust-Vet 30.7.3699 06.07.2007 no virus found
Ewido 4.0 06.07.2007 no virus found
FileAdvisor 1 06.07.2007 no virus found
Fortinet 2.85.0.0 06.07.2007 no virus found
F-Prot 4.3.2.48 06.07.2007 no virus found
F-Secure 6.70.13030.0 06.07.2007 no virus found
Ikarus T3.1.1.8 06.07.2007 no virus found
Kaspersky 4.0.2.24 06.07.2007 no virus found
McAfee 5047 06.06.2007 no virus found
Microsoft 1.2503 06.07.2007 no virus found
NOD32v2 2316 06.07.2007 a variant of Win32/IRCBot.WO
Norman 5.80.02 06.07.2007 no virus found
Panda 9.0.0.4 06.07.2007 Suspicious file
Prevx1 V2 06.07.2007 no virus found
Sophos 4.18.0 06.01.2007 no virus found
Sunbelt 2.2.907.0 06.07.2007 no virus found
Symantec 10 06.07.2007 W32.Mubla
TheHacker 6.1.6.130 06.06.2007 no virus found
VBA32 3.12.0 06.06.2007 no virus found
VirusBuster 4.3.23:9 06.07.2007 no virus found
Webwasher-Gateway 6.0.1 06.07.2007 no virus found

Aditional Information
File size: 23016 bytes
MD5: aacb24330feafef87101314b4195cb8f
SHA1: 772f20be59f6377cbad014f388b8334c820c8457

[Malekal_morte]

L'infection se propage visent les pays espagnols puisqu'elle se propage via des messages espagnole.
Le but étant, une fois l'infection installé, de récupérer les connexions des sistes de banques (notamment espagnol).
Supprimer Trojan-Downloader.Win32.Agent.bks

ex de message : meu para tudo e olha essa foto, ve ai se vc lembra desse dia!!
L'adresse est de type : hxxp://audio.ya.com/topflog

O4 - HKLM\..\Run: [Flash_Player_Install[1]] C:\WINDOWS\udll.exe
O4 - HKLM\..\Run: [Appstart] C:\WINDOWS\Downloaded Program Files\Appstart.exe

Vous tombez alors sur une page en espagnole qui vous dit que vous devez télécharger Flash Player (qui est bien sûr piégé) :



Les fichiers sont détectés composants l'infection sont détectés en : Win32:Banker-BWE / Trojan-Spy.Win32.Banker.byl

Le fichier d'installation de l'infection est détecté ainsi :

Complete scanning result of "Flash_Player_Install.exe", received in VirusTotal at 06.09.2007, 16:15:32 (CET).

Antivirus Version Update Result
AhnLab-V3 2007.6.9.0 06.08.2007 Win-Trojan/Xema.variant
AntiVir 7.4.0.32 06.09.2007 TR/Dldr.Agent.bks.3
Authentium 4.93.8 05.23.2007 W32/Downloader.AGSJ
Avast 4.7.997.0 06.09.2007 Win32:Agent-HEV
AVG 7.5.0.467 06.09.2007 Downloader.Agent.LZV
BitDefender 7.2 06.09.2007 Trojan.Downloader.Banload.NJR
CAT-QuickHeal 9.00 06.09.2007 no virus found
ClamAV devel-20070416 06.09.2007 no virus found
DrWeb 4.33 06.09.2007 Trojan.DownLoader.14577
eSafe 7.0.15.0 06.06.2007 no virus found
eTrust-Vet 30.7.3703 06.08.2007 no virus found
Ewido 4.0 06.09.2007 Downloader.Agent.bks
FileAdvisor 1 06.09.2007 no virus found
Fortinet 2.85.0.0 06.09.2007 W32/Agent.BKS!tr.dldr
F-Prot 4.3.2.48 06.08.2007 W32/Downloader.AGSJ
F-Secure 6.70.13030.0 06.08.2007 Trojan-Downloader.Win32.Agent.bks
Ikarus T3.1.1.8 06.09.2007 Trojan-Downloader.Win32.Banload.bej
Kaspersky 4.0.2.24 06.09.2007 Trojan-Downloader.Win32.Agent.bks
McAfee 5049 06.08.2007 no virus found
Microsoft 1.2503 06.09.2007 no virus found
NOD32v2 2320 06.09.2007 a variant of Win32/Mandei
Norman 5.80.02 06.08.2007 W32/Agent.BRKC
Panda 9.0.0.4 06.09.2007 Trj/Banker.HSO
Prevx1 V2 06.09.2007 no virus found
Sophos 4.18.0 06.01.2007 no virus found
Sunbelt 2.2.907.0 06.09.2007 no virus found
Symantec 10 06.09.2007 no virus found
TheHacker 6.1.6.131 06.08.2007 no virus found
VBA32 3.12.0 06.07.2007 Trojan.DownLoader.14577
VirusBuster 4.3.23:9 06.09.2007 no virus found
Webwasher-Gateway 6.0.1 06.09.2007 Trojan.Dldr.Agent.bks.3

Aditional Information
File size: 418304 bytes
MD5: 4ef4b57e7a6e75435ac446ab12db8d89
SHA1: 4049b6b05fb304441c89cd7d0cfb23b123272af6

[Malekal_morte]

Nouvelle infection MSN Messenger.

Les messages de transmissions :
I'm out fishing. That was awesome.
Here are my pictures.
hxxp://27030.caseduntionkinshides.com/99/524/
hxxp://28630.herunjdinkinmasde.com/99/6705/

Supprimer Win32/Stration.worm.Gen/Email-Worm.Win32.Warezov.l

[Malekal_morte]

Nouvelle infection MSN Messenger : Backdoor.Win32.Agent.aox
Supprimer Backdoor.Win32.Agent.aox

Backdoor.Win32.Agent.aox est un vers qui se propage par MSN
Le ver se propage par le fichier myphotos.zip qui contient le fichier IMG009.jpg-www.imagehosting.com


Message de propagation en français :

he regard a ma nouvelle image
voulez-vous voir une nouvelle image de moi?
j'ai recemment trouve une vieille image de moi, je la trouverai et l'enverrai
ca va, regard a la nouvelle photo que j'ai

créé les fichiers et entrée :
O4 - HKLM\..\Run: [MSN Services] C:\RECYCLER\msnservice.exe


Comme d'habitude, les utilisateurs Avast! ne sont pas protégés
Comme vous allez le constater Avast! ne le détecte pas à l'heure où j'écris cet article,
Ce n'est déjà pas nouveau puisque la dernière infection MSN n'avait pas non plus était tout de suite détecté par Avast! (il a fallu 15 jours!!)
voir ce lien : http://forum.zebulon.fr/index.php?showtopic=123168

En conséquence, voici pourquoi je recommande plutôt Antivir qu'Avast!, voir les deux sujets :

* Avast! VS Antivir
* Un point sur les antivirus



Scan au 24 juin :

Complete scanning result of "myphoto.zip", received in VirusTotal at 06.24.2007, 01:51:41 (CET).

Antivirus Version Update Result
AhnLab-V3 2007.6.21.1 06.22.2007 no virus found
AntiVir 7.4.0.34 06.22.2007 BDS/Agent.aox
Authentium 4.93.8 06.22.2007 W32/Backdoor.ATLX
Avast 4.7.997.0 06.23.2007 no virus found
AVG 7.5.0.476 06.23.2007 PSW.Agent.IWL
BitDefender 7.2 06.24.2007 Backdoor.Agent.AIV
CAT-QuickHeal 9.00 06.23.2007 Backdoor.Agent.aox
ClamAV devel-20070416 06.23.2007 Trojan.Agent-4639
DrWeb 4.33 06.23.2007 no virus found
eSafe 7.0.15.0 06.21.2007 Win32.Agent.aox
eTrust-Vet 30.8.3736 06.22.2007 no virus found
Ewido 4.0 06.23.2007 Backdoor.Agent.aox
FileAdvisor 1 06.24.2007 no virus found
Fortinet 2.91.0.0 06.23.2007 W32/Agent.AOX!tr.bdr
F-Prot 4.3.2.48 06.22.2007 W32/Backdoor.ATLX
F-Secure 6.70.13030.0 06.22.2007 Backdoor.Win32.Agent.aox
Ikarus T3.1.1.8 06.23.2007 Backdoor.Win32.Agent.aox
Kaspersky 4.0.2.24 06.24.2007 Backdoor.Win32.Agent.aox
McAfee 5059 06.22.2007 no virus found
Microsoft 1.2701 06.23.2007 no virus found
NOD32v2 2349 06.23.2007 Win32/Agent.AOX
Norman 5.80.02 06.22.2007 no virus found
Panda 9.0.0.4 06.23.2007 W32/Spybot.AHM.worm
Sophos 4.19.0 06.22.2007 no virus found
Sunbelt 2.2.907.0 06.21.2007 no virus found
Symantec 10 06.23.2007 W32.Spybot.Worm
TheHacker 6.1.6.137 06.22.2007 Backdoor/Agent.aox
VBA32 3.12.0.2 06.23.2007 Backdoor.Win32.Agent.aox
VirusBuster 4.3.23:9 06.23.2007 Backdoor.Agent.UJC
Webwasher-Gateway 6.0.1 06.22.2007 Trojan.Agent.aox

Aditional Information
File size: 59040 bytes
MD5: 60f030680c72a7bdbe2ad01c51f70f83
SHA1: f33bb6149d01b4dcbdf96d6aa76ac32aadd44886

[Malekal_morte]

Trojan.Downloader.Banload.CCW/Trojan-Spy.Win32.Bancos.ha est un vers qui se propage par MSN
Le ver se propage par le fichier YouTube0465.exe

Le message de propagation envoyé aux contacts MSN :

Olha esse video ai na you tube
ele e muito legal
http://youtubevideos.notlong.com
heheh

Supprimer Trojan.Downloader.Banload.CCW/Trojan-Spy.Win32.Bancos.ha

[Malekal_morte]

Trojan-Downloader.Win32.Agent.btu est un ver qui se propage par MSN.
L'infection affiche des messages pour vous faire télécharger des photos.. qui n'en sont pas et qui installent l'infection.

Le message de propagation envoyé aux contacts MSN :
ben jij dat op deze foto? http://www.hothotpics.com/photo8.php
is that you on this photo :O http://www.******.net/photo26.com
is that you on this photo http://www.hot hotpeople.net/photo894.php


L'infection installe : Win32:VBStat-c / Trojan-Spy.Win32.VBStat.c / Virtumonde / Msevents / Trojan.vundo

Supprimer Trojan-Downloader.Win32.Agent.bt

[Malekal_morte]

IM-Worm.Win32.VB.be/Worm.VB.be/fer.exe est un ver qui se propage par MSN
Détection IM-Worm.Win32.VB.be/Worm.VB.be/fer.exe
Ajouter le fichier fer.exe
Le fichier se copie dans C:Windowssystem32 et C:Program FilesMozilla Firefox

Supprimer fer.exe / IM-Worm.Win32.VB.be / Worm.VB.be

Complete scanning result of "fer.exe", received in VirusTotal at 06.28.2007, 20:49:11 (CET).

Antivirus Version Update Result
AhnLab-V3 2007.6.29.0 06.28.2007 Win32/Xema.worm.183808
AntiVir 7.4.0.34 06.28.2007 Worm/VB.BE.4
Authentium 4.93.8 06.27.2007 no virus found
Avast 4.7.997.0 06.28.2007 no virus found
AVG 7.5.0.476 06.28.2007 Worm/VB.BNS
BitDefender 7.2 06.28.2007 Trojan.Downloader.VB.NV
CAT-QuickHeal 9.00 06.28.2007 I-Worm.VB.be
ClamAV devel-20070416 06.28.2007 no virus found
DrWeb 4.33 06.28.2007 Trojan.DownLoader.25624
eSafe 7.0.15.0 06.28.2007 Win32.VB.be
eTrust-Vet 30.8.3749 06.28.2007 no virus found
Ewido 4.0 06.28.2007 Worm.VB.be
FileAdvisor 1 06.28.2007 no virus found
Fortinet 2.91.0.0 06.28.2007 W32/Dloader.BE!worm.im
F-Prot 4.3.2.48 06.27.2007 no virus found
F-Secure 6.70.13030.0 06.28.2007 IM-Worm.Win32.VB.be
Ikarus T3.1.1.8 06.28.2007 IM-Worm.Win32.VB.be
Kaspersky 4.0.2.24 06.28.2007 IM-Worm.Win32.VB.be
McAfee 5062 06.27.2007 no virus found
Microsoft 1.2701 06.28.2007 Worm:Win32/Rotyk.A
NOD32v2 2361 06.28.2007 no virus found
Norman 5.80.02 06.28.2007 no virus found
Panda 9.0.0.4 06.28.2007 no virus found
Sophos 4.19.0 06.28.2007 no virus found
Sunbelt 2.2.907.0 06.27.2007 no virus found
Symantec 10 06.28.2007 no virus found
TheHacker 6.1.6.140 06.28.2007 W32/VB.be
VBA32 3.12.0.2 06.27.2007 no virus found
VirusBuster 4.3.23:9 06.28.2007 Backdoor.Vanbot.Gen!Pac
Webwasher-Gateway 6.0.1 06.28.2007 Worm.VB.BE.4

Aditional Information
File size: 183808 bytes
MD5: 85e35570d36bdcf2e230817727c894b0
SHA1: 87bcdafadcd6c5e3131aa28b73ee28839bb5a964
packers: EXECryptor

[Malekal_morte]

Nouveau ver MSN : Backdoor.Win32.IRCBot.acd

Ce dernier se propage toujours en proposant des "photos chaudes" via le fichier : myalbum2007.zip

Ne téléchargez pas ce fichier, si une personne vous l'envoie, donnez lui le lien pour se désinfecter

Supprimer Backdoor.Win32.IRCBot.acd

[Malekal_morte]

Une variante de Backdoor.VanBot.dk
Vous avez une "ancienne" version sur ce post :

Les messages de transmissions :
j'ai fais une pose de ma soeur hier en cachette avec ma webcam regarde ca

Suivi du lien pour télécharger le fichier piégé webcam_00002.com?.jpg qui installe une fois executé... l'infection sur l'ordinateur.

Ajoute le service :
O23 - Service: Microsoft Genuine Advantage - Unknown owner - C:\WINDOWS\System32\dllcache\winmga.exe


Supprimer webcam_00002.com/IM-Worm.Win32.Sohanad

Complete scanning result of "webcam_00002.com", received in VirusTotal at 07.01.2007, 23:28:53 (CET).

Antivirus Version Update Result
AhnLab-V3 2007.6.30.0 06.29.2007 no virus found
AntiVir 7.4.0.37 07.01.2007 HEUR/Crypted
Authentium 4.93.8 06.29.2007 no virus found
Avast 4.7.997.0 07.01.2007 no virus found
AVG 7.5.0.476 07.01.2007 no virus found
BitDefender 7.2 07.01.2007 no virus found
CAT-QuickHeal 9.00 06.30.2007 (Suspicious) - DNAScan
ClamAV devel-20070416 07.01.2007 no virus found
DrWeb 4.33 07.01.2007 no virus found
eSafe 7.0.15.0 06.30.2007 no virus found
eTrust-Vet 30.8.3752 06.29.2007 no virus found
Ewido 4.0 07.01.2007 no virus found
FileAdvisor 1 07.01.2007 no virus found
Fortinet 2.91.0.0 07.01.2007 no virus found
F-Prot 4.3.2.48 06.29.2007 no virus found
F-Secure 6.70.13030.0 07.01.2007 no virus found
Ikarus T3.1.1.8 07.01.2007 no virus found
Kaspersky 4.0.2.24 07.01.2007 no virus found
McAfee 5064 06.29.2007 no virus found
Microsoft 1.2701 07.01.2007 no virus found
NOD32v2 2368 07.01.2007 no virus found
Norman 5.80.02 06.29.2007 no virus found
Panda 9.0.0.4 07.01.2007 no virus found
Sophos 4.19.0 06.28.2007 no virus found
Sunbelt 2.2.907.0 06.29.2007 VIPRE.Suspicious
Symantec 10 07.01.2007 no virus found
TheHacker 6.1.6.140 06.28.2007 no virus found
VBA32 3.12.0.2 06.30.2007 no virus found
VirusBuster 4.3.23:9 07.01.2007 no virus found
Webwasher-Gateway 6.0.1 07.01.2007 Heuristic.Crypted

Aditional Information
File size: 491520 bytes
MD5: 12de78fe79a28d68fa59c550b3dc0eae
SHA1: 14ada0d7d2b8e77c4e33d8db2ae065dc605f68e1
Sunbelt info: VIPRE.Suspicious is a generic detection for potential threats that are deemed suspicious through heuristics.