BackDoor.IRC.Suicide

[Malekal_morte]

L'infection ajoute la ligen suivante sur HijackThis :

O4 - HKLM\..\Run: [MicrosoftDriverService32] drsys32.exe
et le fichier C:\Windows\system32\drsys32.exe

Exemple de message de propagation :

hey im sending my new pictures! Check em out!,
is this pic tooo sexy for photobucket??,

Fichier drsys32.exe reçu le 2007.10.24 20:32:53 (CET)
Situation actuelle: en cours de chargement ... mis en file d'attente en attente en cours d'analyse terminé NON TROUVE ARRETE
Résultat: 17/32 (53.13%)

Antivirus Version Dernière mise à jour Résultat
AhnLab-V3 2007.10.25.0 2007.10.24 Win32/IRCBot.worm.variant
AntiVir 7.6.0.27 2007.10.24 TR/Crypt.ULPM.Gen
Authentium 4.93.8 2007.10.23 -
Avast 4.7.1074.0 2007.10.23 -
AVG 7.5.0.488 2007.10.24 IRC-Worm/Generic.BK
BitDefender 7.2 2007.10.24 DeepScan:Generic.Malware.SIdld!.F33DF055
CAT-QuickHeal 9.00 2007.10.23 -
ClamAV 0.91.2 2007.10.24 -
DrWeb 4.44.0.09170 2007.10.24 BackDoor.IRC.Suicide
eSafe 7.0.15.0 2007.10.22 Win32.IRCBot
eTrust-Vet 31.2.5237 2007.10.24 -
Ewido 4.0 2007.10.24 -
FileAdvisor 1 2007.10.24 -
Fortinet 3.11.0.0 2007.10.19 -
F-Prot 4.3.2.48 2007.10.23 -
F-Secure 6.70.13030.0 2007.10.24 -
Ikarus T3.1.1.12 2007.10.24 Win32.SuspectCrc
Kaspersky 7.0.0.125 2007.10.24 Heur.Trojan.Generic
McAfee 5147 2007.10.23 New Malware.cn
Microsoft 1.2908 2007.10.24 Trojan:Win32/SystemHijack.gen
NOD32v2 2614 2007.10.24 -
Norman 5.80.02 2007.10.24 W32/Malware.BCHA
Panda 9.0.0.4 2007.10.23 W32/Oscarbot.QQ.worm
Prevx1 V2 2007.10.24 Heuristic: Suspicious Self Modifying EXE
Rising 19.46.22.00 2007.10.24 -
Sophos 4.22.0 2007.10.24 Mal/HckPk-A
Sunbelt 2.2.907.0 2007.10.24 -
Symantec 10 2007.10.24 W32.IRCbot
TheHacker 6.2.9.106 2007.10.24 -
VBA32 3.12.2.4 2007.10.24 BackDoor.IRC.Suicide
VirusBuster 4.3.26:9 2007.10.24 -
Webwasher-Gateway 6.6.1 2007.10.24 Trojan.Crypt.ULPM.Gen
Information additionnelle
File size: 13824 bytes
MD5: 9eb75270850bbf3591f6c9b0abd73439
SHA1: 2e60d875fbeb39db3b5f67c7f8b751bc27cc98d4
packers: PE-Shield, UPX, UPX

[Malekal_morte]

Nouvelle variante avec l'ajout de la ligne suivante sur HijackThis :

O4 - HKLM\..\Run: [Windows Defender] defender.exe

Scan du fichier :

Fichier defender.exe reçu le 2007.10.29 21:56:52 (CET)
Situation actuelle: en cours de chargement ... mis en file d'attente en attente en cours d'analyse terminé NON TROUVE ARRETE
Résultat: 17/32 (53.13%)

Antivirus Version Dernière mise à jour Résultat
AhnLab-V3 2007.10.30.0 2007.10.29 -
AntiVir 7.6.0.30 2007.10.29 HEUR/Malware
Authentium 4.93.8 2007.10.29 Possibly a new variant of W32/IRCBot-based!Maximus
Avast 4.7.1074.0 2007.10.29 -
AVG 7.5.0.503 2007.10.29 -
BitDefender 7.2 2007.10.29 Generic.Malware.SIdld!.A91C13CD
CAT-QuickHeal 9.00 2007.10.29 (Suspicious) - DNAScan
ClamAV 0.91.2 2007.10.29 -
DrWeb 4.44.0.09170 2007.10.29 BackDoor.IRC.Suicide
eSafe 7.0.15.0 2007.10.28 suspicious Trojan/Worm
eTrust-Vet 31.2.5250 2007.10.29 Win32/Slenfbot!generic
Ewido 4.0 2007.10.29 -
FileAdvisor 1 2007.10.29 -
Fortinet 3.11.0.0 2007.10.19 -
F-Prot 4.3.2.48 2007.10.29 W32/IRCBot-based!Maximus
F-Secure 6.70.13030.0 2007.10.29 Backdoor.Win32.IRCBot.and
Ikarus T3.1.1.12 2007.10.29 -
Kaspersky 7.0.0.125 2007.10.29 Backdoor.Win32.IRCBot.and
McAfee 5151 2007.10.29 W32/Generic.b.worm
Microsoft 1.2908 2007.10.29 Worm:Win32/Slenfbot.gen!A
NOD32v2 2623 2007.10.29 probably unknown NewHeur_PE virus
Norman 5.80.02 2007.10.29 -
Panda 9.0.0.4 2007.10.29 Suspicious file
Prevx1 V2 2007.10.29 -
Rising 19.47.02.00 2007.10.29 -
Sophos 4.23.0 2007.10.29 -
Sunbelt 2.2.907.0 2007.10.29 VIPRE.Suspicious
Symantec 10 2007.10.29 W32.IRCbot
TheHacker 6.2.9.110 2007.10.27 -
VBA32 3.12.2.4 2007.10.28 -
VirusBuster 4.3.26:9 2007.10.29 -
Webwasher-Gateway 6.0.1 2007.10.29 Heuristic.Malware
Information additionnelle
File size: 13312 bytes
MD5: 6960c9e06239362e8ece72e7d78e9813
SHA1: fa14bbc80c295bf63483ce8510b395d09b7fd7af

[Malekal_morte]

HKLM\...\ run = "Windows System-Control Drivers" C:\WINDOWS\system32\syscontrl.exe

File picture_004-new4myspace.JPEG-scan received on 12.26.2007 18:19:53 (CET)
Result: 6/32 (18.75%)
Loading server information...


Antivirus Version Last Update Result
AhnLab-V3 2007.12.27.10 2007.12.26 -
AntiVir 7.6.0.46 2007.12.26 TR/Crypt.XPACK.Gen
Authentium 4.93.8 2007.12.26 -
Avast 4.7.1098.0 2007.12.26 -
AVG 7.5.0.516 2007.12.25 -
BitDefender 7.2 2007.12.26 -
CAT-QuickHeal 9.00 2007.12.25 -
ClamAV 0.91.2 2007.12.26 -
DrWeb 4.44.0.09170 2007.12.26 BackDoor.IRC.Suicide
eSafe 7.0.15.0 2007.12.26 Suspicious File
eTrust-Vet 31.3.5400 2007.12.24 -
Ewido 4.0 2007.12.26 -
FileAdvisor 1 2007.12.26 -
Fortinet 3.14.0.0 2007.12.26 -
F-Prot 4.4.2.54 2007.12.25 -
F-Secure 6.70.13030.0 2007.12.26 -
Ikarus T3.1.1.15 2007.12.26 -
Kaspersky 7.0.0.125 2007.12.26 -
McAfee 5192 2007.12.24 -
Microsoft 1.3109 2007.12.26 -
NOD32v2 2747 2007.12.25 -
Norman 5.80.02 2007.12.26 -
Panda 9.0.0.4 2007.12.25 Suspicious file
Prevx1 V2 2007.12.26 -
Rising 20.24.21.00 2007.12.26 -
Sophos 4.24.0 2007.12.26 Mal/Emogen-N
Sunbelt 2.2.907.0 2007.12.21 -
Symantec 10 2007.12.26 -
TheHacker 6.2.9.168 2007.12.22 -
VBA32 3.12.2.5 2007.12.26 -
VirusBuster 4.3.26:9 2007.12.26 -
Webwasher-Gateway 6.6.2 2007.12.26 Trojan.Crypt.XPACK.Gen
Additional information
File size: 73728 bytes
MD5: 981ed708eeb837947728892727d149c6
SHA1: ea96cf0cd415792e043ae564ba9c7fb4b8a06095
PEiD: -
packers: EXECryptor
packers: Execryptor