Zbot et Scar.AUWW sont deux variantes du cheval de TroieInfostealer.Banker.C [symantec]. Ces programmes malicieux contaminent leurs victimes via un courrier électronique leurre. leur objectif est d’espionner les frappes entrées au clavier de l'ordinateur pour tenter de dérober les identifiants d'accès aux sites sécurisés et aux services en ligne tels que les banques.

Troj/Bancos-BBT [Sophos], Troj/Bancos-BCV [Sophos], Trojan-Downloader.Win32.Agent.bvz, Trojan-Spy.Win32.Zbot.gen, Trojan.Win32.Scar.auww [Kaspersky], Win32/Kollah.KX [Computer Associates], TROJ_ZBOT.AJC [Trend], TROJ_ZBOT.US [Trend]

Le cheval de Troie peut apparaître sous forme de plusieurs variantes :




Zbot [secuser]




Cette variante du cheval de Troie se présente sous la forme d'un courrier électronique en anglais, prétendument envoyé par le réseau social Facebook (Facebook ), informant le destinataire de la nécesité de mettre à jour son compte pour continuer à accéder au service.




Le titre du message est variable :




 • Facebook account update




 • new login system




 • Facebook Update Tool









Si l'utilisateur clique sur le bouton ou le lien hypertexte contenu dans le message, il est redirigé vers une page web dont l'adresse commence comme celle du site Facebook (http://www.facebook.com...) et est invité à télécharger un programme nommé updatetool.exe, présenté comme étant une mise à jour liée à la sécurité.






Si ce fichier est exécuté, le cheval de Troie s'installe sur le disque dur, modifie la base de registres pour s'exécuter à chaque démarrage de l'ordinateur, puis espionne les frappes entrées au clavier de l'ordinateur contaminé pour tenter de dérober les identifiants d'accès aux sites sécurisés et aux services en ligne tels que les banques.


Scar.AUWW [Secuser]




L’e-mail est prétendument envoyé par un organisme gouvernemental dans le cadre de la lutte contre le virus de la grippe A, recommandant au destinataire de se connecter à un site d'apparence officiel pour remplir son dossier médical.




Le cheval de Troie se présente sous la forme d'un courrier électronique en anglais et sans fichier joint, envoyé par l'organisme gouvernemental Centers for Disease Control and Prevention (CDC).




Le titre du message est aléatoire :




• State Vaccination H1N1 Program




• Instructions on creation of your personal Vaccination Profile




• State Vaccination Program




• Your personal Vaccination Profile




Le corps du message recommande au destinataire de se connecter à un site d'apparence officiel dans le but de mettre à jour son dossier de vaccination concernant le virus H1N1, même s'il ne souhaite pas se faire vacciner:




 









You have received this e-mail because of the launching of State Vaccination H1N1 Program. You need to create your personal H1N1 (swine flu) Vaccination Profile on the cdc.gov website. The Vaccination is not obligatory, but every person that has reached the age of 18 has to have his personal Vaccination Profile on the cdc.gov site. This profile has to be created both for the vaccinated people and the not-vaccinated ones. This profile is used for the registering system of vaccinated and not-vaccinated people. Create your Personal H1N1 Vaccination Profile using the link: Create Personal Profile -------------------------------------------------------------------------------- ------------------------------------------------------------------------------------------ Centers for Disease Control and Prevention (CDC) · 1600 Clifton Rd · Atlanta GA 30333 · 800-CDC-INFO (800-232-4636)




Si l'utilisateur clique sur le lien hypertexte contenu dans le message, personnalisé avec son adresse email, il est invité à télécharger un fichier nommé ovacc_profile.exe, présenté comme étant son profil de vaccination H1N1




 











 




Si ce fichier est exécuté, le cheval de Troie s'installe sur le disque dur, modifie la base de registres pour s'exécuter à chaque démarrage de l'ordinateur, puis espionne les frappes entrées au clavier de l'ordinateur contaminé pour tenter de dérober les identifiants d'accès aux sites sécurisés et aux services en ligne tels que les banques.

1. Désactiver la restauration système (Windows Me/XP).
   
2. redémarrer la machine en utilisant le système Windows Recovery Console.
   
3. Supprimer tout les fichiers injectés par le cheval de Troie dans la machine.
   
4. Mettre à jour les définitions de l’antivirus
   
5. Exécuter un scan complet du système.
   
6. Supprimer toutes les entrées ajoutées à la base de registre.

VIRUS