Marianne ANSSI

CERT-FR

Centre gouvernemental de veille, d'alerte et de réponse aux attaques informatiques

logo ANSSI
Informations utiles

Que faire en cas d'intrusion ?

Les systèmes obsolètes

Liens utiles

 

L'ANSSI recrute

 

 

Les documents du CERT-FR

Publications récentes

Les alertes en cours

Les bulletins d'actualité

Les notes d'information

Année en cours Archive

 

Les Flux RSS du CERT-FR

Flux RSS complet

RSS

Flux RSS des alertes

RSS

Flux RSS SCADA

RSS

 

CERTA-2000-ALE-008

Imprimer ce document

Version PDF

À propos du CERT-FR

Le CERT-FR

Nous contacter

Contact us ( Drapeau anglais )

A propos du site

Communauté CSIRT

Les CSIRT

Le FIRST

L'EGC

 
Archives du CERT-FR

Année 2017 Archive

Année 2016 Archive

Année 2015 Archive

Année 2014 Archive

Année 2013 Archive

Année 2012 Archive

Année 2011 Archive

Année 2010 Archive

Année 2009 Archive

Année 2008 Archive

Année 2007 Archive

Année 2006 Archive

Année 2005 Archive

Année 2004 Archive

Année 2003 Archive

Année 2002 Archive

Année 2001 Archive

Année 2000 Archive

 

S . G . D . S . N
Agence nationale
de la sécurité des
systèmes d'information

République Française Paris, le 13 juin 2000
No CERTA-2000-ALE-008

Affaire suivie par :

CERTA

BULLETIN D'ALERTE DU CERTA

Objet : The Serbian Badman Trojan (TSB)


Conditions d'utilisation de ce document : http://www.certa.ssi.gouv.fr/certa/apropos.html
Dernière version de ce document : http://www.certa.ssi.gouv.fr/site/CERTA-2000-ALE-008

Gestion du document


Tableau 1: gestion du document
Date de la première version 13 juin 2000
Date de la dernière version -
Source(s) Sophos

1 Risque

Cheval de Troie

2 Systèmes concernés

  • Windows 95
  • Windows 98

3 Résumé

Serbian.trojan (également nommé Troj/Downloader ou W95/Loader Trojan) est un cheval de Troie qui s'est propagé par l'intermédiaire d'un fichier téléchargé depuis certains forums.

4 Description

Ce cheval de Troie a été proposé sur des forums pour adultes sous la forme d'un fichier Quickflick.mpg.exe ou Mysissy.mpg.exe se faisant ainsi passer pour un fichier vidéo (.mpg).

Une fois ce fichier exécuté sur la machine, il installe discrétement un cheval de Troie téléchargé depuis un autre site (dont l'adresse semble actuellement inaccesible), qui permet à un utilisateur distant de prendre le contrôle de la machine et de l'impliquer dans un éventuel Déni de Service par Outils Répartis. Il utilise également des ports de communications dont certains correspondent à ceux utilisés lors de connexions IRC.

5 Solution

  • Détection :

    Lister les ports ouverts via la commande netstat -a et s'assurer que les ports 2221, 2222, 6669 et 7000 ne sont pas utilisés.

    Le cheval de troie ajoute les lignes de commandes suivantes :

    • system.ini : shell=Explorer «trojan.exe»
    • win.ini : run=«trojan.exe»

    Il ajoute également une entrée dans la base de registre à l'emplacement :

    HKEY_USERS\Microsoft\Windows\CurrentVersion\Explorer

  • Solution :
    • Filtrer les ports 2221, 2222, 6669 et 7000 sur le firewall;
    • Mettre à jour votre anti-virus;
    • Suivre les recommandations de la note d'information CERTA-2000-INF-002 concernant les pièces jointes.

Documentation

Gestion détaillée du document

13 juin 2000
version initiale.


CERTA
2014-01-17
Premier Ministre / Secrétariat Général de la Défense et de la Sécurité Nationale / Agence nationale de la sécurité des systèmes d'information webmestre Dernière mise à jour : le 2017-05-29