MAD - « Malware Analysis & Diagnostic » http://secubox.aldria.com/ « Malware Analysis & Diagnostic » en Sun, 20 Jul 2008 23:25:50 GMT <![CDATA[New fake codec websites]]> blog des nouveaux noms de domaines enregistrés chez EstDomains et qui sont susceptibles de distribuer des faux codecs. Pour l'instant, seul QAZ-CODEC.NET [64.28.182.53] semble actif.

img

ABC-CODEC.COM, BRAKECODEC.NET, CITY-CODEC.COM, CITYCODEC.NET
CLEAN-CODEC.NET, DEMO-CODEC.COM, END-CODEC.COM, FIRECODEC.NET
GAME-CODEC.COM, GIGA-CODEC.COM, HERO-CODEC.COM, HOPE-CODEC.COM
HQ-CODEC.COM, IX-CODEC.COM, JETCODEC.NET, MEGAZCODEC.COM
NITROCODEC.NET, OPERACODEC.COM, QAZ-CODEC.NET, RED-CODEC.NET
SPACECODEC.NET, STORM-CODEC.COM, UIN-CODEC.NET, ULTRACODEC.NET
VIVA-CODEC.COM, WHITE-CODEC.COM, WOTCODEC.COM, XERO-CODEC.COM
XVID-CODEC.ORG, ZEROCODEC.NET]]> http://secubox.aldria.com/topic-post3315.html#post3315 http://secubox.aldria.com/post-topic2402-quotepost3315.html Fri, 18 Jul 2008 15:27:08 GMT http://secubox.aldria.com/topic-post3315.html#post3315 <![CDATA[Zlob: movieexternal.com, licensingvideo.com]]> LICENSINGVIDEO.COM ( 85.255.120.107 )
Registrar: ESTDOMAINS, INC.
NS1.LICENSINGVIDEO.COM
NS2.LICENSINGVIDEO.COM
Updated: 09-jul-2008
Creation: 09-jul-2008
Expiration: 09-jul-2008

• 69.50.164.50 (69.50.164.50-custblock.intercage.com)
%ProgramFiles%\Web Technologies
Online Sercive Tool

Scan taken on 16 Jul 2008 15:51:49 (CET) .
AhnLab-V3 ; 2008.7.16.0 ; 2008.07.16 ; -
AntiVir ; 7.8.0.68 ; 2008.07.16 ; DR/Zlob.Gen
Authentium ; 5.1.0.4 ; 2008.07.15 ; -
Avast ; 4.8.1195.0 ; 2008.07.15 ; -
AVG ; 7.5.0.516 ; 2008.07.16 ; -
BitDefender ; 7.2 ; 2008.07.16 ; Trojan.Zlob.CPC
CAT-QuickHeal ; 9.50 ; 2008.07.15 ; -
ClamAV ; 0.93.1 ; 2008.07.16 ; Trojan.Dropper-2529
DrWeb ; 4.44.0.09170 ; 2008.07.16 ; Trojan.Popuper.7006
eSafe ; 7.0.17.0 ; 2008.07.16 ; -
eTrust-Vet ; 31.6.5958 ; 2008.07.16 ; -
Ewido ; 4.0 ; 2008.07.16 ; -
F-Prot ; 4.4.4.56 ; 2008.07.15 ; -
F-Secure ; 7.60.13501.0 ; 2008.07.16 ; -
Fortinet ; 3.14.0.0 ; 2008.07.16 ; -
GData ; 2.0.7306.1023 ; 2008.07.16 ; -
Ikarus ; T3.1.1.26.0 ; 2008.07.16 ; Downloader.Zlob
Kaspersky ; 7.0.0.125 ; 2008.07.16 ; -
McAfee ; 5339 ; 2008.07.15 ; -
Microsoft ; 1.3704 ; 2008.07.16 ; TrojanDownloader:Win32/Zlob.YU
NOD32v2 ; 3272 ; 2008.07.16 ; -
Norman ; 5.80.02 ; 2008.07.16 ; -
Panda ; 9.0.0.4 ; 2008.07.16 ; -
Prevx1 ; V2 ; 2008.07.16 ; -
Rising ; 20.53.22.00 ; 2008.07.16 ; -
Sophos ; 4.31.0 ; 2008.07.16 ; Sus/ZlobLike-A
Sunbelt ; 3.1.1536.1 ; 2008.07.15 ; -
Symantec ; 10 ; 2008.07.16 ; -
TheHacker ; 6.2.96.381 ; 2008.07.16 ; -
TrendMicro ; 8.700.0.1004 ; 2008.07.16 ; -
VBA32 ; 3.12.8.0 ; 2008.07.16 ; suspected of Downloader.Zlob.3
VirusBuster ; 4.5.11.0 ; 2008.07.15 ; -
Webwasher-Gateway ; 6.6.2 ; 2008.07.16 ; Trojan.Dropper.Zlob.Gen


img

DNS: MOVIEEXTERNAL.COM ( 77.91.231.201 )
Registrar: ESTDOMAINS, INC.
NS1.MOVIEEXTERNAL.COM
NS2.MOVIEEXTERNAL.COM
Updated: 09-jul-2008
Creation: 09-jul-2008
Expiration: 09-jul-2008

• 85.255.119.244 (244.119.255.85.in-addr.arpa)
%ProgramFiles%\Web Technologies
Online Sercive Tool

Scan taken on 16 Jul 2008 15:24:57 (CET) .
AhnLab-V3 ; 2008.7.16.0 ; 2008.07.16 ; -
AntiVir ; 7.8.0.68 ; 2008.07.16 ; DR/Zlob.Gen
Authentium ; 5.1.0.4 ; 2008.07.15 ; -
Avast ; 4.8.1195.0 ; 2008.07.15 ; Win32:Zlob-CGB
AVG ; 7.5.0.516 ; 2008.07.16 ; -
BitDefender ; 7.2 ; 2008.07.16 ; Trojan.Zlob.CPC
CAT-QuickHeal ; 9.50 ; 2008.07.15 ; -
ClamAV ; 0.93.1 ; 2008.07.16 ; Trojan.Dropper-2529
DrWeb ; 4.44.0.09170 ; 2008.07.16 ; Trojan.Popuper.7006
eSafe ; 7.0.17.0 ; 2008.07.16 ; -
eTrust-Vet ; 31.6.5958 ; 2008.07.16 ; -
Ewido ; 4.0 ; 2008.07.16 ; -
F-Prot ; 4.4.4.56 ; 2008.07.15 ; -
F-Secure ; 7.60.13501.0 ; 2008.07.16 ; -
Fortinet ; 3.14.0.0 ; 2008.07.16 ; -
GData ; 2.0.7306.1023 ; 2008.07.16 ; -
Ikarus ; T3.1.1.26.0 ; 2008.07.16 ; Downloader.Zlob
Kaspersky ; 7.0.0.125 ; 2008.07.16 ; -
McAfee ; 5339 ; 2008.07.15 ; -
Microsoft ; 1.3704 ; 2008.07.16 ; TrojanDownloader:Win32/Zlob.YU
NOD32v2 ; 3272 ; 2008.07.16 ; -
Norman ; 5.80.02 ; 2008.07.16 ; -
Panda ; 9.0.0.4 ; 2008.07.16 ; -
Prevx1 ; V2 ; 2008.07.16 ; -
Rising ; 20.53.22.00 ; 2008.07.16 ; -
Sophos ; 4.31.0 ; 2008.07.16 ; Sus/ZlobLike-A
Sunbelt ; 3.1.1536.1 ; 2008.07.15 ; -
Symantec ; 10 ; 2008.07.16 ; -
TheHacker ; 6.2.96.381 ; 2008.07.16 ; -
TrendMicro ; 8.700.0.1004 ; 2008.07.16 ; -
VBA32 ; 3.12.8.0 ; 2008.07.16 ; suspected of Downloader.Zlob.3
VirusBuster ; 4.5.11.0 ; 2008.07.15 ; -
Webwasher-Gateway ; 6.6.2 ; 2008.07.16 ; Trojan.Dropper.Zlob.Gen
]]> http://secubox.aldria.com/topic-post3314.html#post3314 http://secubox.aldria.com/post-topic2401-quotepost3314.html Fri, 18 Jul 2008 15:15:56 GMT http://secubox.aldria.com/topic-post3314.html#post3314 <![CDATA[Re: MSN: The clown again.]]> PARTAGER-ALBUM.COM enregistré chez GoDaddy le 16 Juillet 2008.

Massey Lynn (emaxmax11@yahoo.fr)
4, rue Servien
MEUDON, île de france
92190 France

1. WWW.MSN.PARTAGER-ALBUM.COM
207.29.121.91.in-addr.arpa - ks21576.kimsufi.com
91.121.29.207 ~ AS16276 : ( Dedicated Servers, OVH FRANCE, PARIS )

Content-Disposition: attachment; filename="album11937.com"
Content-Type: application/octet-stream

Résultats VT: 11/33 (33.33%)]]> http://secubox.aldria.com/topic-post3312.html#post3312 http://secubox.aldria.com/post-topic2279-quotepost3312.html Wed, 16 Jul 2008 17:22:11 GMT http://secubox.aldria.com/topic-post3312.html#post3312 <![CDATA[Storm Worm: Thème militaire.]]>
Notes
Les Etats-Unis, comme Israël, n'ont pas exclu récemment un recours à la force contre l'Iran en réponse à son programme nucléaire, dont les Occidentaux craignent qu'il ne cache un volet militaire sous couvert de production d'électricité. L'Iran "mettra le feu" à Tel Aviv et à la flotte militaire américaine dans le Golfe s'il est attaqué.
(Agence France Presse @ 08 juillet 2008 10h24)

Ces tensions ont contribuées à plonger les valeurs financières dans le rouge et n'a pas manqué d'inspirer les auteurs de Storm Worm. Depuis le départ pour mener ses campagnes, Storm Worm utilise des thèmes synchronisés avec l'actualité ; le dernier a par exemple utilisé l'évènement du "Fourth of July", mieux connu sous le nom "Independence Day".

Intitulée "Military News", l'aspect de cette nouvelle page est soigné. La bannière du haut engendre le téléchargement de "form.exe" quant au lien de la vidéo, il pointe sur "iran_occupation.exe". Hier, ces fichiers étaient détectés à 3/33 (9.09%) sur VT, aujourd'hui la détection est à 6/33 (18.19%)

img

Les pourriels desservent l'industrie pharmaceutique pour le compte de "Pharmacy Express" et "Canadian Pharmacy".
img

Une autre partie est dédiée à la promotion de la campagne. Plusieurs centaines de sujets sont possibles, parmis eux, "US Army crossed Iran's borders", "US Army invaded Iran", "US army is about 20 kilometers from Tegeran", "US soldiers occupied Iran", "USA attacked Iran", "USA declares war on Iran", "USA occupeid Iran", "USA unleashed war on Iran", ...

En parallèle, Jeremy, spécialiste de Storm Worm sur sudosecure a détecté que Storm réalise des attaques ciblées en utilisant des techniques de déni de service distribué avancées: This is the first time I have ever seen a round robin style DDOS attack being carried out. With the return of DDOS attacks by the Storm Worm I would definitely say this botnet just returned to the dangerous state and jumped back on many security professionals radar. I have read just recently several posting dismissing the danger of the Storm Worm, which I would never recommend doing.

Avec la démonstration de force qu'a effectué l'Iran avec ses tires de missiles ce matin (huit sol-sol et un missile Shahab III), l'avenir s'annonce sombre et le "thème militaire" de Storm risque bien de ré-apparaître prochainement. En réalité, le nombre est inférieur car il semblerait que les documents aient été faussés, comme par exemple la photo retouchée des tirs.]]> http://secubox.aldria.com/topic-post3310.html#post3310 http://secubox.aldria.com/post-topic2398-quotepost3310.html Wed, 09 Jul 2008 07:22:06 GMT http://secubox.aldria.com/topic-post3310.html#post3310 <![CDATA[Zlob: flwtool.com, flwapplication.com]]> FLWTOOL.COM ( 77.91.231.183 )
Registrar: ESTDOMAINS, INC.
NS1.FLWTOOL.COM
NS2.FLWTOOL.COM
Updated: 07-jul-2008
Creation: 07-jun-2008
Expiration: 07-jul-2009

• 69.50.164.50 (69.50.164.50-custblock.intercage.com)
%ProgramFiles%\Web Technologies
Online Sercive Tool

Scan taken on 7 Jul 2008 14:34:21 (CET) .
AhnLab-V3 ; 2008.7.4.1 ; 2008.07.07 ; -
AntiVir ; 7.8.0.64 ; 2008.07.07 ; DR/Zlob.Gen
Authentium ; 5.1.0.4 ; 2008.07.06 ; -
Avast ; 4.8.1195.0 ; 2008.07.07 ; Win32:Zlob-CGB
AVG ; 7.5.0.516 ; 2008.07.07 ; -
BitDefender ; 7.2 ; 2008.07.07 ; Trojan.Zlob.CPC
CAT-QuickHeal ; 9.50 ; 2008.07.04 ; -
ClamAV ; 0.93.1 ; 2008.07.07 ; Trojan.Dropper-2529
DrWeb ; 4.44.0.09170 ; 2008.07.07 ; Trojan.Popuper.7006
eSafe ; 7.0.17.0 ; 2008.07.07 ; -
eTrust-Vet ; 31.6.5934 ; 2008.07.07 ; -
Ewido ; 4.0 ; 2008.07.07 ; -
F-Prot ; 4.4.4.56 ; 2008.07.06 ; -
F-Secure ; 7.60.13501.0 ; 2008.07.03 ; -
Fortinet ; 3.14.0.0 ; 2008.07.07 ; -
GData ; 2.0.7306.1023 ; 2008.07.07 ; -
Ikarus ; T3.1.1.26.0 ; 2008.07.07 ; Downloader.Zlob
Kaspersky ; 7.0.0.125 ; 2008.07.07 ; -
McAfee ; 5332 ; 2008.07.04 ; -
Microsoft ; 1.3704 ; 2008.07.07 ; TrojanDownloader:Win32/Zlob.gen!AW
NOD32v2 ; 3246 ; 2008.07.07 ; -
Norman ; 5.80.02 ; 2008.07.04 ; -
Panda ; 9.0.0.4 ; 2008.07.06 ; -
Prevx1 ; V2 ; 2008.07.07 ; -
Rising ; 20.51.60.00 ; 2008.07.06 ; -
Sophos ; 4.31.0 ; 2008.07.07 ; Sus/ZlobLike-A
Sunbelt ; 3.1.1509.1 ; 2008.07.04 ; -
Symantec ; 10 ; 2008.07.07 ; -
TheHacker ; 6.2.96.374 ; 2008.07.07 ; -
TrendMicro ; 8.700.0.1004 ; 2008.07.07 ; Mal_Zlob-2
VBA32 ; 3.12.6.8 ; 2008.07.06 ; suspected of Downloader.Zlob.3
VirusBuster ; 4.5.11.0 ; 2008.07.06 ; -
Webwasher-Gateway ; 6.6.2 ; 2008.07.07 ; Trojan.Dropper.Zlob.Gen


img

DNS: FLWAPPLICATION.COM ( 85.255.120.107 )
Registrar: ESTDOMAINS, INC.
NS1.FLWAPPLICATION.COM
NS2.FLWAPPLICATION.COM
Updated: 07-jul-2008
Creation: 07-jul-2008
Expiration: 07-jul-2009

• 85.255.119.244 (244.119.255.85.in-addr.arpa)
%ProgramFiles%\Web Technologies
Online Sercive Tool

Scan taken on 7 Jul 2008 14:34:40 (CET) (GMT) .
AhnLab-V3 ; 2008.7.4.1 ; 2008.07.07 ; -
AntiVir ; 7.8.0.64 ; 2008.07.07 ; DR/Zlob.Gen
Authentium ; 5.1.0.4 ; 2008.07.06 ; -
Avast ; 4.8.1195.0 ; 2008.07.07 ; -
AVG ; 7.5.0.516 ; 2008.07.07 ; -
BitDefender ; 7.2 ; 2008.07.07 ; Trojan.Zlob.CPC
CAT-QuickHeal ; 9.50 ; 2008.07.04 ; -
ClamAV ; 0.93.1 ; 2008.07.07 ; Trojan.Dropper-2529
DrWeb ; 4.44.0.09170 ; 2008.07.07 ; Trojan.Popuper.7006
eSafe ; 7.0.17.0 ; 2008.07.07 ; -
eTrust-Vet ; 31.6.5934 ; 2008.07.07 ; -
Ewido ; 4.0 ; 2008.07.07 ; -
F-Prot ; 4.4.4.56 ; 2008.07.06 ; -
F-Secure ; 7.60.13501.0 ; 2008.07.03 ; -
Fortinet ; 3.14.0.0 ; 2008.07.07 ; -
GData ; 2.0.7306.1023 ; 2008.07.07 ; -
Ikarus ; T3.1.1.26.0 ; 2008.07.07 ; Downloader.Zlob
Kaspersky ; 7.0.0.125 ; 2008.07.07 ; -
McAfee ; 5332 ; 2008.07.04 ; -
Microsoft ; 1.3704 ; 2008.07.07 ; TrojanDownloader:Win32/Zlob.gen!AW
NOD32v2 ; 3246 ; 2008.07.07 ; -
Norman ; 5.80.02 ; 2008.07.04 ; -
Panda ; 9.0.0.4 ; 2008.07.06 ; -
Prevx1 ; V2 ; 2008.07.07 ; -
Rising ; 20.51.60.00 ; 2008.07.06 ; -
Sophos ; 4.31.0 ; 2008.07.07 ; Sus/ZlobLike-A
Sunbelt ; 3.1.1509.1 ; 2008.07.04 ; -
Symantec ; 10 ; 2008.07.07 ; -
TheHacker ; 6.2.96.374 ; 2008.07.07 ; -
TrendMicro ; 8.700.0.1004 ; 2008.07.07 ; Mal_Zlob-2
VBA32 ; 3.12.6.8 ; 2008.07.06 ; suspected of Downloader.Zlob.3
VirusBuster ; 4.5.11.0 ; 2008.07.06 ; -
Webwasher-Gateway ; 6.6.2 ; 2008.07.07 ; Trojan.Dropper.Zlob.Gen
]]> http://secubox.aldria.com/topic-post3306.html#post3306 http://secubox.aldria.com/post-topic2394-quotepost3306.html Mon, 07 Jul 2008 12:40:34 GMT http://secubox.aldria.com/topic-post3306.html#post3306 <![CDATA[Cracks, Keygens,... are you sure?]]> Zlob for dummies", nous évoquions la distribution par le biais de faux portails et blogs underground qui distribuent de faux cracks, keygens, ... dans le but d'infecter les internautes puis de les harceler afin qu'ils téléchargent puis achètent des rogues anti-spyware et autres faux logiciels de sécurité comme par exemple "AntiSpywareExpert" ou "Antivirus 2008", "Antivirus XP 2008", "Antivirus XP 2008 Pro", "Antivirus 2009", Antiiiiiiiiiiiiiiii...

img

Pour illustrer, rien de plus agréable qu'une vidéo sur un air nostalgique et non anodin.

Old school style for ever :]=~]]> http://secubox.aldria.com/topic-post3305.html#post3305 http://secubox.aldria.com/post-topic2393-quotepost3305.html Sun, 06 Jul 2008 21:41:09 GMT http://secubox.aldria.com/topic-post3305.html#post3305 <![CDATA[Re: IRCBots: YouTube/MySpace]]> e97e3433cc1fde78a11ee9d13f30a9be3a875224)
• Réalise une copie de lui même dans: %windir%\system32\msnupdbt.exe
[†] Modifications du fichier hosts
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"MSN Update Cfg" = "msnupdbt.exe"
Connexion au botnet: img
Récupère la liste des messages à diffuser sur le serveur piraté TURNWOOD.NET (66.96.130.76)

Messages .
img
Nesesito que me digas como se ve esta foto, que crees?
Tengo nuevas fotos.. aqui te envio una
puedo poner esta foto en mi nuevo blog?
cuando tengas un chance mira mi nueva foto, en mi pc se ve rara
quiero que me digas como me veo aqui en esta nueva foto!
hey..puedo poner esta foto de nosotros en mi facebook?
aqui una foto nueva con mi nueva camara... una belleza!
aprendi a usar photoshop!! mira lo que le hize a una de tus fotos haha
increible! mi nueva camara.. las fotos son muy buenas!
quieres que ponga esta foto sexy tuya en mis top de fotos?
hah esta foto tuya me encanta.. la puedo poner en mi blog?


Autre programme (9724c344a3bfb255c915b3ea8cbe8672fc694bc6)
• Réalise une copie de lui même dans: %windir%\system32\winsvcli.exe
[†] Modifications du fichier hosts
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Service Client" = "winsvcli.exe"

Connexion au botnet: img
img

Récupère la liste des messages à diffuser sur le serveur piraté LUMBERJACKSSTEAKHOUSE.COM (69.89.25.156)
Messages .
img
do you mind if I upload this picture to my new profile?
have you seen the last picture I created in photoshop?
I just found this wallpaper, I think its PERFECT for you!
You missed out on the party! It was pretty intense, just look!
can I post this picture of you on my blog?


La liste des sites blacklistés a été renforcée avec:
127.0.0.1 www.webphand.com
127.0.0.1 www.360.cn
127.0.0.1 www.soccersuck.com
127.0.0.1 file.ikaka.com
127.0.0.1 www.pantip.com
127.0.0.1 www.forospyware.com
127.0.0.1 www.siteadvisor.com
127.0.0.1 blog.threatfire.com
127.0.0.1 blog.hispasec.com
and ... we are in the Matrix.
img]]> http://secubox.aldria.com/topic-post3304.html#post3304 http://secubox.aldria.com/post-topic2356-quotepost3304.html Sun, 06 Jul 2008 00:02:45 GMT http://secubox.aldria.com/topic-post3304.html#post3304 <![CDATA[Trend Micro: Cloud Computing]]>
Ai confianceeeee, Kaa - Le Livre de la Jungle ©.

Historiquement, c'est Amazon qui a ouvert la voie du "cloud computing" littéralement (traitements dans le nuage) avec S3 (Service de Stockage Simple) et EC2 (Elastic Computing Cloud), solutions de stockages délocalisées et des CPUs distants virtualisés. Trend Micro justifie ce changement de stratégie par un constat d'échec du modèle actuel à savoir que les bases de signatures semblent atteindre leurs limites. L'éditeur mise sur une nouvelle alternative, la fusion des services de sécurité via l'Internet (In-the-cloud).

L'objectif est de déporter l'intelligence et l'analyse vers des centres de données sur Internet et c'est ainsi que tous les produits de l'éditeur utiliseront à terme les services du Smart Protection Network (SPN: corrélation des données (ex: Web Reputation, Email Reputation, File Reputation, ...)) ; ces technologies contrôleront en temps réel via Internet votre ordinateur. (emails, fichiers,...)

Une gestion totale à distance à l'exception d'une mini-base de signatures destinée aux menaces les plus communes et les plus simples à détecter permet d'alléger considérablement le client, de réduire l'utilisation des ressources et faciliter la remontée via le réseau d'alerte mondial de l'éditeur.

D'un point de vue technique, la tâche risque d'être rude. Il en va de même sur l'aspect communication car il faut faire face aux inquiétudes des clients. Les questions des internautes sont légitimes: "Si je ne suis pas connecté à Internet, comment faire ?", "Si un parasite perturbe le traffic ?", "Si la mise à jour est bloquée et/ou détournée par un programme malveillant ?", "Mon ordinateur est t-il espionné constamment ?", "Envoyer mes fichiers à Trend ?!", etc.... Quant aux entreprises, elles exigeront un maximum de garanties avant d'investir. Cependant, que les clients se rassurent les produits traditionnels seront toujours maintenus.

Soulignons le mérite de Trend Micro qui a décidé de relever le défi.
Nous leur souhaitons un bon courage et une franche réussite.

Source: Trend Micro Revolution - Cloud Computing]]> http://secubox.aldria.com/topic-post3303.html#post3303 http://secubox.aldria.com/post-topic2392-quotepost3303.html Sat, 05 Jul 2008 13:57:30 GMT http://secubox.aldria.com/topic-post3303.html#post3303 <![CDATA[Zlob for dummies]]>

A quoi correspondent, nos sujets "Zlob: ..."
Exemple, cette semaine: "Zlob: wmvcompressor.com, mpegsystem.com" ?

img

D'un point de vue statistiques, 2 nouveaux noms de domaine sont attribués chaque semaine.
A partir de ces faux sites, un programme d'installation est proposé aux visiteurs.
Une fois exécuté, une requête spécifique est effectuée sur une des IP, elles aussi variables.
Dans notre exemple: 69.50.164.50, 85.255.119.224

Le fichier téléchargé est ensuite exécuté, il se déploie alors comme une poupée russe.
Pour plus de compréhension, nous avons représenté ceci comme une petite capsule.
A chaque nouvel header (entête) correspond un PE (Portable Executable) qui lui même embarque des RES (ressources) dont certaines sont de nouveaux PE embed (PE embarqués). Une petite bombe optimisée dont les charges utiles (les contenus) sont modifiées plusieurs fois par jour.

img

Les noms de domaines qui installent ZLob/DNSChanger sont reconnaissables car ils contiennent souvent le mot "codec" et le fichier d'installation contient également ce mot. Ces sites prétextent la nécessité d'installer un codec sous divers motifs mais généralement c'est afin d'afficher des vidéos porno.
Exemple de DNS: democodec.net ; Fichier d'installation: democodec.v.1.000.exe

img

Les noms de domaines qui installent VideoAccesCodec, MediaTubeCodec sont modifiés plusieurs fois par semaine. L'accès aux fichiers ne se fait pas directement mais par le biais de portails ou vitrines porno ou bien des faux sites de célébrités dénudées. L'utilisateur est alors invité à télécharger un composant soit disant nécessaire à la visualisation des vidéos. Les noms de fichiers contiennent souvent le mot "MediaTubeCodec" ; les programmes d'installations sont très nombreux et peuvent tous être changés en quelques heures. Les symptômes les plus visibles sur un ordinateur infecté sont probablement le détournement du bureau et les faux messages d'avertissements qui visent à créer un climat de peur et développe un état de stress chez l'utilisateur. La finalité étant de promouvoir des sites pornographiques et faire acheter sous la pression les faux logiciels de sécurité qui vous sont présentés.

img

Les méthodes de diffusion de celui-ci ont changées. Désormais les faux logiciels dont les plus connus sont: IE Defender, IE Antivirus,... sont distribués par le biais de portails underground qui sont affiliés par un identifiant visible dans les liens de téléchargement. Ces sites sont rémunérés en fonction des statistiques du nombre de téléchargements. Des slogans génériques peuvent être repérés tels que: "DOWNLOAD KEYGEN ONLY !!!" ou encore "DOWNLOAD GAME PATCH ONLY!!!".

img

Il existe bien d'autres aspects mais ils ne seront pas abordés car se sujet s'intitule: "Zlob pour les débiles".

Le premier trojan Zlob a été découvert fin 2005, depuis ce groupe a sû se créer une notoriété. Ce ne sont plus des amateurs, ce sont des professionnels, structurés, organisés, hiérarchisés, tous les rouages d'une mafia sont présents.

Internet, n'est pas un endroit idyllique peuplé de gens merveilleux et gentils. Internet est le reflet de nos sociétés dans le monde avec tout ce que ça implique. Clarifions une chose, un internaute infecté par Zlob n'est que très rarement une victime, c'est une personne ayant effectué un acte volontaire ou involontaire de malveillance; nuance. Les personnes infectées représentent les maillons qui constituent la chaine de survie de ce groupe, elles les engraissent économiquement ce qui permet de renouveler les infrastructures, d'engager des projets de développement, .... et donne raison à ce business illicite.

Aujourd'hui, lors d'une infection Zlob, il n'est pas rare d'observer de multi-infections comme par exemple Vundo, ce qui pose parfois de sérieux problèmes pouvant "saturer" le système d'exploitation rendant le nettoyage plus difficile voir quasiment impossible.

Les sites d'aide à la résolution de problèmes informatiques, communément appelés sites d'entre aide, sont pris d'assaut quotidiennement par d'innombrables visiteurs qui gémissent bestialement leurs malheurs et tristes aventures vécues. (Pour les étrangers, sachez que se plaindre est "natif" chez un français). Heureusement qu'ils existent, MAIS, si ils sont aussi nombreux, outre le fait que ce soit rentable pour les webmasters, ces forums traduisent un véritable problème de fond face aux fléaux qui circulent sur Internet. La pédagogie n'est pas mise en avant, l'objectif des "helpers" étant de rendre la machine la plus "propre" que possible. La qualité de l'aide apportée dépends des propres connaissances de l'interlocuteur ; il y en a des compétents mais aussi de vrais dangers publiques ! Quand le problème est marqué [Résolu] ; Les utilisateurs sont satisfaits et bénissent l'existence de tels forums "gratuits" (fondamentalement, la gratuité n'existe pas) même si au final, il n'ont absolument rien compris à leurs manipulations. Tout comme l'aide humanitaire, si l'aide est mal gérée, dosée, encadrée, ça entraine à long terme une dévaluation et une forte dépendance.

Les anti-virus reconnaissent avoir de plus en plus de difficultés à lutter efficacement face au volume exponentiel que représente les programmes malveillants. De ce fait, ils sont tous sans exception, faillibles. Mais que faire face à un utilisateur ayant un comportement à risque et qui clique sur tout ce qui bouge ? C'est si facile de rejeter sur les autres ses propres erreurs. MAIS, ouvrons la parenthèse: Il est profondément regrettable d'observer les éditeurs dans leurs affronts directs ou indirects par blogs interposés. Lire tous les quatre matins que "Ma base est plus grosse que la tienne", nana na na... Ou encore regardez l'étude réalisée par X ou Y , voyez comme nos produits surclassent les vôtres et vous atomisent. Moi, je dis MERDE ! It's bullshit ! Il est temps de cesser vos inepties burlesques et puériles, soyez réalistes, ces méthodes n'amélioreront pas la vente de vos produits. Fin de la parenthèse.

img
Image Copyright: IKARUS Security Software GmbH.

Nous arrivons donc à la célèbre formule PEBKAC
Problem Exists Between Keyboard And Chair
Le problème se situe entre la chaise et le clavier

Sauf exceptions, les techniques qui sont utilisées se basent sur les comportements humains et principalement les vices de l'Homme. Afin de surpasser nos "instincts" primitifs, la nature nous à doté d'un cerveau. Un exemple estival ? Vous faites un barbecue. Vous sortez vos merguez, elles sont entièrement comestibles et très bonnes mais vous savez pertinemment que si vous les mettez immédiatement dans votre bouche, vous allez vous brûler ! Prendre conscience qu'une infection n'est pas une simple petite brulure mais bien une maladie informatique qui tuera à petit feu votre ordinateur ou par malchance vous touchera dans la vie réelle, est une étape importante dans la compréhension et dans la prévention.

Vous l'avez peut être remarqué que nous ne dérogeons pas à nos habitudes, à savoir, nous faire de nouveaux amis et après tout, si ça dérange autant, c'est probablement qu'il y a un fond de vérité.]]> http://secubox.aldria.com/topic-post3299.html#post3299 http://secubox.aldria.com/post-topic2388-quotepost3299.html Fri, 04 Jul 2008 18:41:37 GMT http://secubox.aldria.com/topic-post3299.html#post3299 <![CDATA[Re: IRCBots: YouTube/MySpace]]> Remote File Inclusion sur phpMyChat afin de s'introduire sur des serveurs légitimes et ainsi stocker leurs programmes malveillants.

img

Le premier programme (6d7e026661abfadff04aa88d263e60d500c22249)
• Réalise une copie de lui même dans: %windir%\system32\msnfileshare.exe
[†] Modifications du fichier hosts
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"MSN File & Folder Sharing App" = "msnfileshare.exe"

Connexion au botnet: img

Le second programme (d532d4f54b6a41b4c6324a4cb3c9ae2d208d502d)
• Réalise une copie de lui même dans: %windir%\system32\msnapp.exe
[†] Modifications du fichier hosts
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"MSN Application" = "msnapp.exe"

Connexion au botnet: img

img
img

Une nouvelle fois, on observe la volonté qu'ont ces auteurs à vouloir se créer de nouveaux botnets IRC.

Ces fichiers sont désormais pris en charge par l'outil de nettoyage MSNFix.
Laurent vous informe que son outil a été traduit en Macédonien. (Added: Macedonian translation)]]> http://secubox.aldria.com/topic-post3298.html#post3298 http://secubox.aldria.com/post-topic2356-quotepost3298.html Tue, 01 Jul 2008 20:57:55 GMT http://secubox.aldria.com/topic-post3298.html#post3298 <![CDATA[Zlob: aviutility.com]]> AVIUTILITY.COM ( 85.255.117.245 )
Registrar: ESTDOMAINS, INC.
NS1.AVIUTILITY.COM
NS2.AVIUTILITY.COM
Updated: 01-jul-2008
Creation: 01-jul-2008
Expiration: 01-jul-2009

• 69.50.164.50 (69.50.164.50-custblock.intercage.com)
%programfiles%\Web Technologies
HKCU\Software\Web Technologies

Scan taken on 01 Jul 2008 18:58:57 (CET) .
AhnLab-V3 ; 2008.7.2.0 ; 2008.07.01 ; -
AntiVir ; 7.8.0.59 ; 2008.07.01 ; DR/Zlob.Gen
Authentium ; 5.1.0.4 ; 2008.07.01 ; -
Avast ; 4.8.1195.0 ; 2008.06.30 ; Win32:Zlob-CGB
AVG ; 7.5.0.516 ; 2008.07.01 ; -
BitDefender ; 7.2 ; 2008.07.01 ; Trojan.Zlob.CNT
CAT-QuickHeal ; 9.50 ; 2008.06.30 ; -
ClamAV ; 0.93.1 ; 2008.07.01 ; Trojan.Dropper-2529
DrWeb ; 4.44.0.09170 ; 2008.07.01 ; -
eSafe ; 7.0.17.0 ; 2008.07.01 ; -
eTrust-Vet ; 31.6.5917 ; 2008.07.01 ; -
Ewido ; 4.0 ; 2008.07.01 ; -
F-Prot ; 4.4.4.56 ; 2008.07.01 ; -
F-Secure ; 7.60.13501.0 ; 2008.07.01 ; -
Fortinet ; 3.14.0.0 ; 2008.07.01 ; -
GData ; 2.0.7306.1023 ; 2008.07.01 ; -
Ikarus ; T3.1.1.26.0 ; 2008.07.01 ; -
Kaspersky ; 7.0.0.125 ; 2008.07.01 ; -
McAfee ; 5329 ; 2008.07.01 ; -
Microsoft ; 1.3704 ; 2008.07.01 ; TrojanDownloader:Win32/Zlob.KI
NOD32v2 ; 3232 ; 2008.07.01 ; -
Norman ; 5.80.02 ; 2008.07.01 ; -
Panda ; 9.0.0.4 ; 2008.07.01 ; -
Prevx1 ; V2 ; 2008.07.01 ; -
Rising ; 20.51.12.00 ; 2008.07.01 ; Trojan.DL.Zlob.GEN
Sophos ; 4.30.0 ; 2008.07.01 ; Sus/ZlobLike-A
Sunbelt ; 3.1.1509.1 ; 2008.07.01 ; -
Symantec ; 10 ; 2008.07.01 ; -
TheHacker ; 6.2.96.365 ; 2008.07.01 ; -
TrendMicro ; 8.700.0.1004 ; 2008.07.01 ; Mal_Zlob-2
VBA32 ; 3.12.6.8 ; 2008.07.01 ; suspected of Downloader.Zlob.3
VirusBuster ; 4.5.11.0 ; 2008.07.01 ; -
Webwasher-Gateway ; 6.6.2 ; 2008.07.01 ; Trojan.Dropper.Zlob.Gen
]]> http://secubox.aldria.com/topic-post3297.html#post3297 http://secubox.aldria.com/post-topic2387-quotepost3297.html Tue, 01 Jul 2008 17:03:33 GMT http://secubox.aldria.com/topic-post3297.html#post3297 <![CDATA[New online virus scanners ?]]> The darker side of online virus scanners" !
Source: Analyst's Diary, décembre 2007.

img
img
img

Les échantillons ne sont pas envoyés aux éditeurs anti-virus.
Le whois est protégé par ContactPrivacy.
img

N'accordez aucune confiance à ce service, n'envoyez aucun de vos fichiers.

Nous vous recommandons d'utiliser:
• VirusTotal avec ses 32 moteurs AntiVirus.
• VirSCAN avec ses 36 moteurs AntiVirus.
• Jotti's Malware Scan avec ses 20 moteurs AntiVirus.

Ces services vous assurent la garantie d'un réel relai au niveau des éditeurs.]]> http://secubox.aldria.com/topic-post3296.html#post3296 http://secubox.aldria.com/post-topic2386-quotepost3296.html Mon, 30 Jun 2008 23:08:18 GMT http://secubox.aldria.com/topic-post3296.html#post3296