Rapport hebdomadaire Panda Software sur les virus et les intrusions

Par Panda Software le Lundi 04 Avril 2005

Cette semaine, dans notre rapport sur les virus et les intrusions, nous passerons en revue un cheval de Troie de type backdoor, connu sous le nom Beliu.A, ainsi que les vers Mydoom.BN et Mytob.P.

Beliu.A a été classé comme cheval de Troie de type backdoor car il ouvre une backdoor sur les ordinateurs afin de permettre à un attaquant d'y accéder et d'y mener des actions malicieuses. Pour être plus précis, Beliu.A se connecte au serveur Internet liubei.8866.org, via lequel l'attaquant peut prendre le contrôle de l'ordinateur affecté et y mener diverses actions. Ces actions incluent le téléchargement, le déplacement et la suppression de fichiers, l'exécution de commandes et l'arrêt de processus. Il utilise le port 8080 et HTTP pour se connecter à ce serveur. Il peut d'ailleurs également fonctionner au sein de réseaux protégés par des firewalls, étant donné que le port 8080 est habituellement ouvert au trafic.

De manière générale, Beliu.A, atteint les ordinateurs dans un email dont le sujet est 'MOFCOM IPR Report-English Version!' et comporte une pièce jointe nommée 'International IPR Conventions China Acceded to.doc'. Ce document Word exploite la vulnérabilité MS01-028 pour télécharger les fichiers http://81.27.111.103/ek/normal2.dot et http://81.27.111.103/ek/liu8080.exe, le second étant le cheval de Troie en question.

Le premier ver de ce rapport est Mydoom.BN, encore une nouvelle variante de MyDoom. Ce ver se propage via email en utilisant son propre moteur SMTP et recherche des adresses email auxquelles se transférer dans le carnet d'adresses Windows et dans les fichiers portant certaines extensions, dont htm, xml, wml, asp ou wab. Pour éviter d'éveiller toute suspicion, il ne se transfert pas aux adresses ou aux domaines apparaissant dans une liste interne.

Le message transportant le code peut avoir divers sujets, dont des sujets pensés pour tromper l'utilisateur en lui faisant croire qu'il s'agit d'un échec de distribution, tels que 'Mail Delivery System', 'Mail Transaction Failed' ou 'Server Report'.

Le corps du message fait également référence à des erreurs, comme par exemple 'Mail transaction failed', Partial message is available' ou 'The message contains Unicode characters and has been sent as a binary attachment'. Le fichier attaché contient le virus et peut porter divers noms ('document', 'readme', 'doc', 'message', etc.) avec une extension de fichier exécutable Windows (pif, scr, exe, cmd ou bat).

Le dernier code malicieux que nous passerons en revue dans ce rapport est Mytob.P, un ver comportant des caractéristiques de backdoor. Ce ver se propage en cherchant sur le réseau des ressources partagées dont les utilisateurs ont utilisé des mots de passe faciles à deviner. Il peut également se propager via email dans un message dont l'adresse de l'expéditeur est usurpée et contenant une pièce jointe. Il obtient les adresses email auxquelles il se transfert à partir de fichiers de l'ordinateur portant diverses extensions, telles que .htm, .php, .wab, etc.

En tout état de cause, il ne se transfert pas vers certaines adresses pour éviter d'être détecté rapidement par les utilisateurs ou les entreprises. Par exemple, il évite d'utiliser les adresses qui contiennent les textes 'abuse', 'admin', 'gnu', 'ibm.com', ou 'panda'.

Le sujet du message peut être un texte prédéfini ('Error', 'Mail Delivery System', 'Mail Transaction Failed', 'Server Report', etc), une chaîne aléatoire ou peut être blanc. Le corps du message fait également référence à un message d'erreur, le nom de la pièce jointe est choisi parmi une liste et a une extension de fichier exécutable Windows.

Pour plus d'informations sur ces menaces et sur d'autres, consultez l'Encyclopédie des virus de Panda Software à l'adresse http://www.pandasoftware.com/virus_info/encyclopedia/

A propos du laboratoire de virus de Panda Software
Dès réception d'un fichier susceptible d'avoir été infecté, les équipes techniques de Panda Software se mettent au travail. Le fichier est analysé et selon sa nature, différentes actions peuvent être entreprises comme le désassemblage, l'analyse de macro, l'analyse des codes, etc. Si le fichier contient effectivement un nouveau virus, l'antidote est préparé et distribué aux utilisateurs dans les plus brefs délais.