frank
Admin
Messages : 1692
Date d'inscription : 06/09/2012
Age : 60
 | Sujet: Interpretation des résultats des antivirus  Sam 6 Oct - 17:02 | |
| [Vous devez être inscrit et connecté pour voir cette image]Voici une liste élaborée de menaces et de leurs noms génériques tel qu'on peu les voir sur virustotal
Le but de cette page est de vous aider à mieux comprendre les types de menaces qui existent et de mieux comprendre à quoi vous avez à faire.
En espérant donc que cette page vous aidera à y voir plus clair lors d'une détection éventuelle par votre antivirus ou lors de l'utilisation de VirusTotal
Catégorie de menaces
Adware : Logiciel publicitaire qui ouvre des popups de publicités. Des adwares peuvent être installés par des programmes dits gratuits pour rémunérer les auteurs.
Backdoor: Malware permettant le contrôle à distance d'un PC par un pirate. Un réseau de PC infectés est un botnet.
Il existe ensuite des sous familles Backdoor.SDBot / Backdoor.IRC
Se reporter à PC Zombi
Stealer: Trojan de catégorie Stealer qui comme son nom l'indique a pour but de dérober des informations.
Les trojans peuvent être décliner en Trojan-PWS dans le cas où le but est simplement de voler des mots de passe.
Les moyens pour se faire peuvent être divers (sniffer le réseau ou capacité de keylogger ou injecter des pages dans le cas de sites de banques [le nom peut-être alors être Trojan-Banker], etc).
Les plus répandus sont Zbot/Zeus, Qakbot/QuakBot, SpyEye – Trojan.Pincav et plus ancien Goldun/Haxdor etc.
Trojan: Malware conçu pour effectuer divers tâches à l'insu de l'utilisateur. Cela peut aller d'installer d'autres malwares, à désactiver certains logiciels de protections (antivirus, pare-feu etc), envoyer des mails de SPAM ou bien d'autres fonctionnalités.
Keylogger: Malware enregistrant les frappes claviers afin de dérober des mots de passe ou autres informations suceptibles d'être reccueillies par un pirate pour les revendre (adresse email, CB etc), obtenir un accès sur un serveur etc.
Spyware: Malware conçu pour dérober/collecter des informations/données. Un spyware peut avoir des fonctionnalités de keylogger.
Ransomware: Malware qui a pour but d'empécher l'accès aux documents à l'utilisateur du PC (en général en encryptant les documents), une somme est en suite demander à l'utilisateur pour lui donner à nouveau accès à ses documents.
RiskTool/HackTool: Outils qui peuvent être utilisés par des pirates pour infecter ou accéder à l'ordinateur.
Le "peuvent" est important, un RistkTool en français outils à risque n'est pas forcément néfaste tout dépend de l'utilisation que l'on en fait.
Par exemple un RiskTool peut être un programme qui permet de redémarrer l'ordinateur ou arreter un processus tiers. Un pirate peut utiliser ce programme pour arreter le processus d'un antivirus mais le programme peut aussi être utilisé pour arreter un processus néfaste dans le cas d'un fix.
Lors d'une détection d'un RiskTool, c'est à l'utilisateur d'évaluer si ce dernier est néfaste ou pas.
PUP (Potentially Unwanted Programs) / LPI (Logiciels Potentiellement Indésirables):
Ce sont des programmes qui peuvent être non désirés mais qui peuvent tout de même être installé par l’utilisateur. Dans ces détections sont classées les adwares commerciaux ou barre d’outils qui sont bundles avec des programmes : souvent ces derniers modifient la page de démarrage et recherche afin d’augmenter le tracking, voir pour certains ouvrir des popups de publicités pour rémunérer l’éditeur.
Détections par type / nom générique
Ces détections désignes des types de Trojans.
Certaines peuvent donner des indications quant au but du malware (spammer, voler des données etc) mais ce n'est pas nécessairement le cas.
La détection peut-être de type générique, on trouve alors souvent la notation .gen ou generic dans la détection ou une signature.
Certains antivirus utilisent des . pour séparer les informations dans les détections, d'autres des /
Les différentes détections ajoutées sont mentionnés par une suite de lettre ou des chiffres.
Par exemple chez Kaspersky, c'est une suite de lettre à la fin Trojan-Downloader.Win32.Agent.bfyq, le prochain Trojan-Downloader.Win32.Agent ajouté sera donc .bfyr etc.
Dr.Web lui utilise des chiffres BackDoor.IRC.Sdbot.4591
Avira utilise aussi des suites de lettres mais par exemple dans le cas de SDBot, ce dernier utilise la taille de fichiers : DR/Sdbot.97792
Certains malwares peuvent entre englobés dans divers types différents.
Par exemple, un malware peut se propager par MSN (IM-Worm) mais aussi par disques amovibles (Worm.Autorun), dans le cas d'un scan VirusTotal, on peux donc obtenir sur les antivirus des noms/types différents.
Backdoor: Désigne des malwares donnant la possibilité de contrôle à distance aux pirates transformant donc le PC en question en PC Zombi. Le malware peut être un simple processus ou un rootkit.
De même, la manière de prise de contrôle peut être différente. Par exemple, sur une Backdoor.IRC, la prise de contrôle se fait à partir d'un réseau IRC alors que d'autres contrôles peuvent se faire par HTTP etc.
Exploit.HTML - Bloodhound.Exploit.196 (Symantec): Exploit en HTML, la pluspart du temps se trouve dans le cache internet. Sert donc de tremplin pour infecter un PC en exploitant une faille sur le système ou un logiciel tiers.
Exploit.PDF / Exploit.Win32.Pdf.G / EXP/PDF / Mal/PDFEx-X (Sophos): Exploit sous la forme d'un PDF exploit une vulnérabilité sur editeur PDF (souvent celui d'Adobe Reader car le plus répandu).
L'exploit peut être sous la forme d'un JS contenu dans le stream du PDF, dans ce cas l'exploit peut prendre le nom : Exploit.Win32.Pdfjsc.G / Exploit.PDF-JS.Gen
Exploit.SWF: Exploit sous la forme d'un SWF (Flash) exploitant une vulnérabilité sur un player Flash (souvent celui d'Adobe car le plus répandu).
HTML.IFrame / Trojan.IFrame.HTML / HTML/Infected.WebPage.Gen: IFrame ou Javascript infection contenu sur une page WEB (HTML) infectieuse.
L'iframe peut rediriger vers un exploit (donc Exploit.HTML) pour infecter l'ordinateur.
Elle peut etre de la forme Trojan-Clicker.HTML bouclant sur des publicités/ouvrant de multiples popups de pubs, etc.
IM-Worm.xxx Vers se propage par messagerie instannée.
Rootkit.Agent: Désigne un rootkit au sens large du terme. Notation chez Dr.Web : Trojan.NtRootKit.xxx
SpamTool.Win32.xxxx / Trojan.Spambot / Email-Worm.Win32.xxx (Kaspersky): Trojan qui a pour but d'envoyer des mails de SPAM. Exemple : Win32/SpamTool.Agent.NAJ SpamTool.Win32.Agent.n
Sdbot / Rbot / Spybot: Désigne un type de malware se propageant via des failles systèmes à distance RPC etc. (comme le faisait Blaster dans le temps).
Un Sdbot / Rbot / Spybot peut aussi être une Backdoor.IRC puisque ce dernier peut se connecter à un réseau IRC afin que le PC puisse être contrôlé par le pirate.
Trojan.Agent: Désigne un trojan au sens large du terme. Le trojan peut avoir divers buts. Exemple : TR/Agent.NWI.1 (Antivir),
Trojan.BHO: Trojan installé en BHO sur le système.
Trojan.BOT: Trojan qui permet de prendre le contrôle du PC en le faisant joindre un botnet. Le PC est alors transformé en PC en PC Zombi.
Exemple :
Il existe divers types comme SDBot/RBot, SpamBot, IRCBot etc.
ou familles : Backdoor.Win32.VanBot.cg
Trojan-Clicker: Trojan qui surfe à l'insu de l'utilisateur. Ce dernier peut faire des requetes sur des moteurs de recherches pour augmenter le ranking de certains sites.
Surfer sur des sites pour augmenter les hits, revenus pubs etc.
Trojan.Delf: Désigne un trojan en Delphi.
Trojan.Dropper: Trojan droppant un malware sur le système. Exemple : Win32/TrojanDropper.Delf.NFK - Trojan Dropper écrit en Delphi.
Si le dropper installe une famille de malware spécifique, le nom de la famille peut apparaître. Exemple : Trojan-Dropper.Win32.BeJoin.c
Trojan.Downloader: Trojan qui télécharge d'autres malwares. Le Trojan.Downloader peut être décliné avec divers autres infos comme par exemple Trojan.Downloader.Small (Trojan Downloader de petite taille), Trojan-Downloader.JS : Trojan Downloader en JavaScript.
FraudTool.Win32.RogueSecurity / Win32/RogueSecurity!generic / Trojan.FakeAV / Mal/FakeAV-AD /Trojan:Win32/Winwebsec:
diverses détections pour les Rogues/Scarewares - ex security-tool-t21189.html#p174197
Note dans le cas de Trojan[/color]:Win32/Winwebsec (Microsoft) cela peut désigner une sous famille de rogue. Winwebsec étant à la base le rogue Winweb Security qui a été décliné en plein d'autres familles, ces familles étant mis en avant par des infections spécifiques et très présentes.
EnfinTrojan-Downloader.Win32.FraudLoad- Désigne un Trojan qui télécharge un rogue
Trojan.Inject: Malware capable d'injecter des données dans des processus en mémoire. Par exemple, cela peut être utilisé pour manipuler svchost.exe afin de télécharger des codes malveillants.
Trojan.OnlineGames ou W32/OnlineGames ou Trojan.PSWLineage ou Trojan-GameThief: Désigne une catégorie de trojans qui ont pour but de voler les informations de connexions de jeu en ligne. Le but étant de revendre les objets etc pour faire de l'argent.
Trojan.Win32.Obfuscated.gl
Trojan.Patched / Trojan.Win32.Patched: Fichiers systèmes Windows légitimes patchés par une infection. Les fichiers peuvent être winlogon.exe, svchost.exe ou des drivers ndis.sys etc.
Trojan.Proxy: Trojan permet l'utilisation du PC infecté comme proxy. Le pirate peut se connecter ou effectuer divers actions (scans etc) en utilisant le PC infecté pour se cacher.
Trojan.PWS / Trojan.PSW: Désigne un trojan qui a pour but de voler des informations/données, PWS voulant dire password (mot de passe). Le nom derrière peut être suivant d'une informations supplémentaire par exemple Trojan-PSW:W32/OnlineGames vole les informations des comptes de jeu en ligne, Trojan.PWS.Banker est axé sur les informations de comptes de banque. Le nom derrière peut désigner une famille de malware
Trojan.Ransom: Trojan Ransom est un type de trojan qui encrype les fichiers documents et demande une "rançon" à l'utilisateur afin que ce dernier puisse à nouveau accéder à ses documents.
Trojan.Small: Désigne un trojan de petite taille de fichiers.
Trojan.Tiny: Désigne un trojan de petite taille de fichiers.
Trojan.VB: Désigne un trojan écrit en Visual Basic. Exemple : Trojan.Win32.VB.xxx / W32/VB.BFB
Trojan.Winlock: Malware qui bloque le chargement de Windows et l'utilisation du PC.
Une rançon est demandée soit par envoie, soit par SMS afin de débloquer Windows.
C'est donc une version "spéciale" d'un Trojan.Ransomware.
Dernièrement des versions "Fake.Police" ont vu le jour, le message d'alerte est soit disant envoyé par la Police.
Différentes versions existent selon le pays.
Worms.Autorun: Désigne un ver ayant la possibilité de se propager par disques amovibles (création de fichiers autorun.inf).
Quelques détections heuristiques/génériques selon les antivirus:
Ces détections permettent de détecter un code malveillant mais ne donne aucune indication quant aux types de menaces auquels on a affaire. Il se peut aussi que la menace n'en soit pas une!
Mal/Heuri-xxx(Sophos)
Heuristic.Malware(Prevx)
HEUR/Malware(Antivir)
Win32:Trojan-gen.{Other} (Avast!)
VIPRE.Suspicious(Sunbelt)
Malware Generic ou Suspicious file(Panda)
Generic.Malware.SYBddld!.xxxxxxx(BitDefender)
New Malware.xxx(McAfee)
Heuristic. (Kaspersky)
[color=#1501FD]Quelques détections de packers:
TR/Crypt.XPACK.Gen - PCK/FSG - TR/Crypt.Morphine.Gen(Antivir)
Trojan.Win32.Pakes.xxxx(F-Secure / Kaspersky)
VirTool:Win32/Obfuscator.x(Microsoft)
Packed.Win32.CryptExe(F-Secure / Kaspersky)
Cryp_Morphine(Trend-Micro)
Trojan.Packed.xxx(Dr-Web)
Famille de malwares
Quelques familles de malware... ce sont les plus courantes.
Adware:Win32/AdRotator - Adware/TrafficSol - Spyware.Adssit.A: Adware ouvrant des popups de publicités.
Ce dernier était très courant via des download sur P2P et notamment Limwire (une formidable poubelle à virus) : voir Ads served by Dcads (Adware Fotomoto).
Cet adware peut aussi être installé par des infections tiers afin de gagner des $ sur les popups de publicités, c'était notamment le cas passé un moment de certains variantes de faux codecs : voir Renos/Zlob : "you have a security problem" : codec.xxx.exe
Backdoor.Win32.Goolbot- Bot permettant le contrôle de l'ordinateur - souvent présent sous le nom de fichier C:\WINDOWS\system32\msxslt3.exe - voir : restorer64-exe-backdoor-win32-harebot-t21539.html#p177654
Qakbot/QuakBot: Famille de type Stealer, vole des données (mot de passe, adresse email etc).
Backdoor.Win32.HareBot: Bot permettant le contrôle de l'ordinateur et télécharge d'autres malwares - souvent présent sous le nom de fichier C:\WINDOWS\system32\restorer64_a.exe
Backdoor/Win32.Cycbot: Malware ajoutant un proxy qui permet d'effectuer des redirections Google et de voler des informations transistant par le WEB (mot de passe, cookie de session etc).
Navipromo / Magic.Control: Adware installé via des programmes gratuits, ce dernier est très implanté en France.
Les programmes installant cet adware sont proposés via bannières publicitaires
Trojan.Agent.AWDE / TrojanDownloader:Win32/Bredolab.B (Microsoft) / Trojan.Botnetlog.x (Dr.Web) / Backdoor.Win32.Zdoogu (Kaspersky): créé le fichier C:\Windows\System32\digeste.dll.
Trojan.Carberp:Famille de Stealer comme Spyeye ou Zbot/Zeus.
Trojan.DNSChanger: Trojan.DNSChanger est un malware modifiant les adresses DNS afin d'effectuer des redirections lors des recherches Google.
La variante se propageant par disques amovibles est détecté en Win32:Fabot par Avast!
Pandex / CutWail / Trojan.Kobcka (BitDefender) /
Backdoor.Win32.HareBot: Rootkit Cutwail destiné à spammer.
Trojan-Downloader.Win32.Karagany: Trojan qui se fait passer pour Adobe Reader.
Trojan.Slenfbot: Slenfbot est une famille de Backdoor IRC qui se propage par MSN et disques amovibles.
SpyEye – Trojan.Pincav: stealer, vole de données (mot de passe, adresse email etc).
Le malware intègre divers mécanismes de protections pour empécher sa détection/désinfection.
Il empèche entre autre les antivirus et empêche leurs mises à jour en bloquant les adresses via le fichier HOSTS de Windows
TrojanSpy:Win32/Ambler / Trojan-Spy.Win32.Banker: Trojan destiné à voler les informations de connexion aux comptes de banque en ligne.
La majorité des variantes viennent du Brésil.
Trojan.Banload: Trojan installant un Trojan.Banker
Trojan.Goldun/Haxdoor: Malware souvent sous la forme d'un rootkit accompagné d'une DLL ayant des fonctionnalités de keylogger qui a pour but de voler des données (mot de passe, accès banque etc).
Win32/Tedroo / Win32:Walivun: %windir%\services.exe / Email-Worm.Win32.Joleee.xx (Kaspersky) : Trojan envoyant des mails de SPAM (spambot), ce dernier créé un fichier %windir%\services.exe
Il se propage bcp via des exploits sur site web
Email-Worm.Win32.Iksmas: se copie en C:\WINDOWS\Temp\_ex-08.exe
Email-Worm.Win32.Gibon: se copie en O21 - SSODL: SysRun - {D7FFD784-5276-42D1-887B-00267870A4C7} - C:\WINDOWS\system32\svshost.dll
en deux fichiers exécutables dont le nom peut changer, ex : wininet.exe/winint.exe
Trojan.Sasfis / Trojan:Win32/Oficla.A / Backdoor.Bredavi: c'est un malware qui transforme le PC en PC Zombi le faisant rejoindre dans un botnet et permettant le contrôle de ce dernier.
Trojan.Tdss / Trojan.Alueron: Désigne un trojan qui a des fonctionnalités de rootkit très sophistiqués.
Trojan:Win32/Opachki: Malware qui se charge via des DLL et qui provoque des redirections lors des recherches Google
Trojan.Win32.Rabbit aka Dropper.Cutwail: Drop le malware CutWail
Mi-2009 Kaspersky a ajouté une détection sur le packer de ce malware répondant au nom de Packed.Win32.Katusha.b
Ajoute la clef Run :
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
* {User Name} = "%User Profile%\{User Name}.exe /i"
Le fichier portera alors votre nom d'utilisateur.
Trojan.Win32.Buzus / Worm.Win32.Rimecud: Ce sont les vers qui se propagent par MSN ou disques amovibles.
Trojan.Vundo / Virtumonde: Adware ouvrant des popups de publicités et pouvant effectuer des redirections lors des recherches Google.
Trojan.Tofsee: Trojan.Tofsee est un malware conçu pour spammer. Ce dernier créé des fichiers avec des lettres aléatoires, très souvent dans la clef du registre ajoutée pour démarrer le processus, on retrouve à la fin du fichier un paramètre \s \u
Trojan.ZBot / Zeus / Trojan-Banker.Win32.Bancos: Trojan qui a pour but de voler des données/informations personnelles (numéro de tel, CB, mot de passe, etc).
Win32:Daonol / Gumblar: Infection provoquant des redirections lors des recherches Google.
Se charge à partir de la clef aux de HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32
avec des fichiers de type sysaudio.sys, wdmaud.sys
Trojan-Downloader.Win32.CodecPack.dg / TR/Dldr.CodecPa.CU /TrojanDownloader:Win32/Renos: Trojan téléchargent de faux codec faisant la promotion de rogues.
Trojan.Downloader.Swizzor: Adware affichant des popups de pubs, connus aussi sous nom Lop.com
Trojan.Downloader.WMA.Wimad: Malware sous forme de fichiers multimédia, ce dernier est en général destiné à ouvrir des popups ou faire télécharge des ffaux codec.
Trojan.Win32.Scar: Trojan Downloader qui se copie en C:\WINDOWS\system32\msxslt3.exe
Win32/Taterf: Vers se propageant par disques amovibles.
Ce dernier a pour but de voler les informations de connexions au jeu en ligne (dont World Of Warcraft), il peut donc avoir des noms génériques tels que :
Win32/PSW.OnLineGames.xxxx
TrojanGameThief.Magania.aukf
Worm.AutoRun.xxx.
TrojanTofsee: autres familles de SpamBot
Trojan.Furi / Trojan:Win32/Bohmin: Trojan ouvrant des popups de publicité.
Peut-être installé via des bannières publicitaires infectieuses ou intallé par des infections tiers afin de gagner des $ sur les popups ouvertes.
Win32/Hoax.Renos.NCN / TrojanDownloader:Win32/Renos / Fake Alert: Trojan affichant de fausses alertes de sécurité faisant la promotion de rogues.
Trojan-Downloader.Win32.Bagle.bx: Trojan se propagent par des cracks sur P2P (Emule en général).
Sinowal: Sinowal est un type de malware connu pour voler les données relatives aux comptes bancaires.
Une des dernières variantes de cette famille est le Rootkit MBR
Rustock: Rootkit destiné à Spammer.
Backdoor.Bifrose: famille de backdoor permetant le contrôle du PC infecté par un pirate. Le PC devient donc un PC Zombi.
Win32/Pushbot: famille de backdoor qui utilise les IM comme moyen de propagation (voir Virus MSN : explications, fonctionnement et parade), ces dernier sont souvent type Backdoor.IRC / SDbot ou Spybot.
Win32/Sality: est un virus au sens litterale du terme puisqu'il infecte les fichiers exécutables (.exe et .scr). Ce dernier peut agir en tant que keylogger.
Worm:AutoIt/Sohanad: ver se propagent par IM (voir Virus MSN : explications, fonctionnement et parade) et par disques amovibles.
En espérant que cela vous éclaire.
Dernière édition par frank le Dim 17 Jan - 9:47, édité 1 fois | |
|
Flash
VIP
Messages : 218
Date d'inscription : 05/03/2015
Age : 47
| | Sujet: Re: Interpretation des résultats des antivirus Mar 10 Mar - 9:26 | |
| | |
|
