Cette archive contient un fichier exécutable, "winner.exe" dont on se doute qu'il n'a pas pour vocation de matérialiser un ordinateur portable de marque Apple sous les yeux ébahis de celui qui l'exécute. Reçu par MX lab ce même 3 février 2010 et soumis aux bons soins du service de détection en ligne de virus Virus Total, il n'est détecté que par 8 des 40 moteurs de scan antivirus disponibles (20%).

3/02/2010 :

Le recevant transféré par email le même jour, je soumet notre "winner.exe" sur Jotti's malware scan. Sur cet autre service de détection de nuisances en ligne, seul le moteur de Sophos détecte "winner.exe" comme nuisible sous le nom Mal/FakeAV-BT alors que les 19 autres antivirus proposés ne détectent rien.

4/02/2010 :

Hier, je renvoie winner.exe sur Jotti's malware scan histoire de voir quels éditeurs antivirus reconnaissent cette nuisance. Le lendemain de la première soumission, Dix scanners antivirus tiquent alors sur ce cheval de troie, c'est à dire la moitié. Cependant, ni Bitdefender, ni Clamav, ni Gdata ou Panda

5/02/2010 :

Ce jour, un petit upload du même fichier sur Jotti's malware scan renvoie un taux de détection de 60% des scanners proposés, soit 12/20. Ce taux de détection assez moyen est fâcheux voire inquiétant si l'on se réfère au risque potentiel des clients ayant acheté un antivirus et se sentant faussement protégés.  

En effet, sur les 8 moteurs antivirus n'ayant pas tiqué à bord du Jotti's malware scan, la moitié sont payants ...

Après redétection sur Virus Total ce vendredi, on dénombre 26 positifs des 40 antivirus et logiciels apparentés, soit 65% de détection.

Le résultat après passage à la moulinette Virus Total ce 5/02/2010 :

Fichier winner.exe reçu le 2010.02.05 14:33:12 (UTC)
AntivirusVersionDernière mise à jourRésultat
a-squared4.5.0.502010.02.05Win32.SuspectCrc!IK
AhnLab-V35.0.0.22010.02.05Win-Trojan/Fakeav.51200.C
AntiVir7.9.1.1582010.02.05BDS/Small.iul
Antiy-AVL2.0.3.72010.02.05-
Authentium5.2.0.52010.02.05W32/Trojan3.BQJ
Avast4.8.1351.02010.02.04Win32:Malware-gen
AVG9.0.0.7302010.02.05SHeur2.CJLE
BitDefender7.22010.02.05-
CAT-QuickHeal10.002010.02.05(Suspicious) - DNAScan
ClamAV0.96.0.0-git2010.02.04-
Comodo38292010.02.05Heur.Suspicious
DrWeb5.0.1.122222010.02.05Trojan.DownLoad.37236
eSafe7.0.17.02010.02.04-
eTrust-Vet35.2.72852010.02.05-
F-Prot4.5.1.852010.02.05W32/Trojan3.BQJ
F-Secure9.0.15370.02010.02.05Trojan-Dropper:W32/Agent.NHG
Fortinet4.0.14.02010.02.05W32/PushdoRD.A!tr.dldr
GData192010.02.05Win32:Malware-gen
IkarusT3.1.1.80.02010.02.05Win32.SuspectCrc
Jiangmin13.0.9002010.02.05-
K7AntiVirus7.10.9672010.02.05Trojan.Win32.Malware.1
Kaspersky7.0.0.1252010.02.05Backdoor.Win32.Small.iul
McAfee58822010.02.04Generic FakeAlert!ec
McAfee+Artemis58822010.02.04Generic FakeAlert!ec
McAfee-GW-Edition6.8.52010.02.05Trojan.Backdoor.Small.iul
Microsoft1.54062010.02.05VirTool:Win32/Obfuscator.HG
NOD3248372010.02.05Win32/Wigon.NB
Norman6.04.032010.02.05-
nProtect2009.1.8.02010.02.05-
Panda10.0.2.22010.02.05-
PCTools7.0.3.52010.02.05Trojan.FakeAV
Prevx3.02010.02.05Medium Risk Malware
Rising22.33.04.042010.02.05-
Sophos4.50.02010.02.05Mal/FakeAV-BT
Sunbelt3.2.1858.22010.02.05-
TheHacker6.5.1.0.1802010.02.05-
TrendMicro9.120.0.10042010.02.05TROJ_FAKEAL.SMDO
VBA323.12.12.12010.02.05Trojan.Win32.Agent.hkgu
ViRobot2010.2.5.21742010.02.05-
VirusBuster5.0.21.02010.02.04-
 
Information additionnelle
File size: 51200 bytes
MD5...: 4ea90acf8a6427060f1a6d003dd3598f
SHA1..: b3f78a7f3caadbbc1ab2129dee04f5526ceba0e7
SHA256: 7791955e9859924a74f53b3c8a53dfda63c0d64da7fbfba364a372065e239e2c
ssdeep: 1536:+D1k/nl/zjhkW2DNbWT/o0dZ599eQLASg2:+DsnlvhzONdgxDASg2
PEiD..: -
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x2a6c
timedatestamp.....: 0x494a47c4 (Thu Dec 18 12:53:24 2008)
machinetype.......: 0x14c (I386)

( 7 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x1bdb 0x1c00 7.64 5f5d194a0c654183e518a18bcbc57e33
.rdata 0x3000 0xbd64 0x8000 6.17 c4c8bd09288eed79ec31308febf00185
.idata 0xf000 0x21f 0x400 0.00 0f343b0931126a20f133d67c2b018a3b
.idata 0x10000 0x266 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
.data 0x11000 0xfd87 0x200 0.86 4efe6e27776ad6c1fbb53666f4ebb4e2
.rsrc 0x21000 0x1f0b 0x2000 3.63 bb16a44a305081b773c023abd39c6282
.reloc 0x23000 0x174 0x200 4.83 af01fc248e523f25816727a6512c62eb

( 8 imports )
> KERNEL32.DLL: SetEndOfFile, InterlockedIncrement, GetFullPathNameA, GetComputerNameW, WaitForSingleObject, WideCharToMultiByte, FormatMessageW, GetCommandLineA, GetStringTypeA, HeapSize, TlsGetValue, CloseHandle, InitializeCriticalSection, LoadResource, FindClose, LoadLibraryA, GetStartupInfoA, SetFileAttributesA, DuplicateHandle, InterlockedExchange, CreateSemaphoreW, HeapAlloc, SetHandleCount, SetEvent, CreateMutexW, GetVersionExA, GetModuleFileNameA, DeleteCriticalSection, LocalAlloc, GetCurrentProcessId, VirtualAlloc, SetFileTime, FlushFileBuffers, lstrlenW, SetUnhandledExceptionFilter, VirtualFree, OutputDebugStringA, GetStringTypeW, IsBadCodePtr, SetThreadLocale, GetEnvironmentStrings, GetFileType, QueryPerformanceCounter, MapViewOfFile, CreateFileA, GetCurrentThreadId, GetLastError, SetStdHandle, GetStdHandle, GetTickCount, SizeofResource, SystemTimeToFileTime, CreateProcessW, CreateFileW, SetFilePointer, HeapFree, GlobalMemoryStatus, WriteConsoleA, GetConsoleMode, ExitProcess, GetTempPathW, GetFileAttributesW, GetFileSize, InterlockedDecrement, GlobalLock, HeapDestroy, lstrlenA, FindNextFileA, FileTimeToSystemTime, ResetEvent, CreateEventW, OpenProcess, TerminateProcess, MoveFileW, GetFileInformationByHandle, GetOEMCP, GetProcAddress, IsDebuggerPresent, HeapCreate, GetLocalTime, FindResourceW, ReadFile, UnhandledExceptionFilter, GetModuleHandleA, Sleep, ResumeThread, LCMapStringA, DebugBreak, GetProcessHeap, ReleaseSemaphore, GetVersion, EnterCriticalSection, GetFileTime, FreeEnvironmentStringsA, GetCurrentDirectoryW, MultiByteToWideChar, GetCurrentThread, GetACP, GetCPInfo, SetConsoleCP
> OLE32.DLL: CoTaskMemAlloc, CoInitialize, CoRegisterPSClsid, CoGetClassObject, CoCreateInstance
> GDI32.DLL: DeleteObject, GetObjectW, CreateBitmap, GetDIBits, CreateRectRgn, SelectObject, BitBlt, SelectClipRgn, RestoreDC, CreateFontIndirectW, CreateSolidBrush, GetStockObject, SelectPalette, CreateCompatibleDC, MoveToEx
> MSVCRT.DLL: memcpy, _vsnprintf, __p__commode, _XcptFilter, _terminate@@YAXXZ, _wcsicmp, wcsrchr, wcsstr, _lock, calloc, _onexit
> USER32.DLL: OpenClipboard, GetSysColor, AdjustWindowRectEx, DispatchMessageW, MapWindowPoints, DestroyWindow, EndPaint, SetClipboardData, InflateRect, LoadBitmapW, GetCapture, GetFocus, LoadStringW, GetMenu, SetWindowTextA, GetWindow, GetActiveWindow, GetCursorPos, GetWindowLongW, MoveWindow, ValidateRect, LoadCursorW, CreateWindowExA, SetWindowTextW, GetWindowPlacement, EnableWindow, GetNextDlgTabItem, CheckDlgButton, GetSubMenu
> ADVAPI32.DLL: RegEnumValueA, RegCreateKeyW, RegEnumKeyExW, RegDeleteValueW, RegCloseKey, RegOpenKeyExA, RegCreateKeyExW, RegQueryValueExW, OpenServiceW, RegQueryInfoKeyW, RegQueryInfoKeyA, RegDeleteKeyW, EqualSid, RegQueryValueExA, RegSetValueExW
> VERSION.DLL: GetFileVersionInfoW
> LZ32.DLL: LZOpenFileW, LZOpenFileA, LZSeek

( 0 exports )
RDS...: NSRL Reference Data Set
-
pdfid.: -
trid..: Win64 Executable Generic (59.6%)
Win32 Executable MS Visual C++ (generic) (26.2%)
Win32 Executable Generic (5.9%)
Win32 Dynamic Link Library (generic) (5.2%)
Generic Win/DOS Executable (1.3%)
<a href='http://info.prevx.com/aboutprogramtext.asp?PX5=83B05BD900EABF64C82100E90FB80700A43067B9' target='_blank'>http://info.prevx.com/aboutprogramtext.asp?PX5=83B05BD900EABF64C82100E90FB80700A43067B9</a>
ThreatExpert info: <a href='http://www.threatexpert.com/report.aspx?md5=4ea90acf8a6427060f1a6d003dd3598f' target='_blank'>http://www.threatexpert.com/report.aspx?md5=4ea90acf8a6427060f1a6d003dd3598f</a>
sigcheck:
publisher....: tzuk
copyright....: Copyright (c) 2004-2009 by Ronen Tzur
product......: Sandboxie
description..: Sandboxie Installer
original name: n/a
internal name: n/a
file version.: 3.42
comments.....: n/a
signers......: -
signing date.: -
verified.....: Unsigned