Bonjour,
Voici la traduction de l'article présenté par chantal.
De très mauvaises nouvelles.
Les créateurs de malwares ne perde jamais l'occasion de profiter des événements mondiaux, quelque soit la tragédie.
Les récents incidents nucléaire au Japon causé par un tremblements de terre et leur cible en ce moment.
Le Centre de Protection des Malwares de Microsoft (MMPC) a trouvé une nouvelle porte dérobée (backdoor) (détectée comme Backdoor:Win32/Sajdela.A, SHA1 0c3526c7e1d6b8a3d2f5c21986c03f1dc0d88480) qui est distribué par Exploit:Win32/CVE-2010-3333 code exploitant précédemment une vulnérabilité par dépassement de tampon dans les fichiers Microsoft Word qui permettent une exécution à distance des codes (regarder pour des détails supplémentaires et les mises à jour appropriées).
Le malware arrive sur le système de la victime sous l'apparence d'un document de microsoft Word (.doc) par exemple :
[IMAGE] (Voir document original)
Le nom du fichier est en caractères japonais, en traduisant on obtient "Japon fuites nucléaire". dans les fait réels ce document est en format RTF.
L'image suivante illustre le shell code malicieux :
[IMAGE] (Voir document original)
La charge utile de ce malware est un fichier exécutable embarqué.Mais pour éviter les scannes heuristique, le malware efface la signature du fichier PE.
[IMAGE] (Voir document original)
Après le sucés de l'exploitation , le malware récupère cette information avant d'écrire le ficher PE sur le disque puis de l'éxécuter.
[IMAGE] (Voir document original)
Pour tromper la victime, le malware dépose un document Microsoft Word caché à "C:\word.doc" et l'ouvre. Le contenus de ce fichier est en japonais, il parle des récent incident nucléaire Japonais.
[IMAGE] (Voir document original)
Ce fichier contient les propriétés ci-dessous :
[IMAGE] (Voir document original)
(Un indice quand à la possible l'identité des auteurs ?)
Les composants de la porte dérobée :
L'installation de la backdoor sur le PC est le but ultime du malware. La backdoor est cryptée à l'intérieur du malware. Quand le malware est exécuté il décrypte la backdoor et la met dans "%SystemRoot\System32\csrls.dll"
La backdoor utilise ces serveurs de contrôle :
• 24.173.215.70
• 65.5.227.69
La backdoor permet un accès et un contrôle non autorisé du PC infecté; le PC peut être utilisé à distance par le pirate, il peut télécharger ou exécuter des fichiers, voler des informations ou stopper un processus.
L'utilisation de l'ingénierie social comme manière pour duper l'utilisateur et qu'il réalise les action que le pirate désire n'est pas nouvelle. Mais quand vous êtes confrontés à ces catastrophes, le besoin d'informations et de réconfort est très fort. N'oubliez pas que les attaquants essaye toujours de tire profit de la nature humaine. Donc soyez prudent.
Pour les bonnes nouvelles, vous pouvez garder votre système sûr tenez votre logiciel antivirus à jour.