Un cheval
de Troie qui empêche de mettre à jour les logiciels de sécurité et le système
en bloquant l'accès aux sites de nombreux éditeurs d'antivirus et firewall
(dont Clamav, Antivir, Dr Web, Kaspersky, F-secure, ...), au site de mise à
jour de Windows ainsi qu'à certaines régies publicitaires. Le principe n'est
pas nouveau mais c'est la méthode qui diffère.
La manipulation du fichier
HOSTS était déjà pratiquée, maintenant c'est directement par modification des
règles de filtrage de paquets que le trojan fait ses petites affaires. Un DLL
contenant les différentes URL à bloquer est injecté et exécuté au redémarrage
par le service Packet Filtering API (sur la couche bas niveau de la pile
TCP/IP) de Windows.
C'est le cheval de Troie "Fantibag.B" qui agit de
la sorte en installant le fichier "firewall_anti.exe" dans le dossier
système.
Analyse du trojan Fantibag.B sur le site de l'éditeur
F-Secure:
- F-Secure Virus
Descriptions : Fantibag.B
Fantibag.B joue avec le service de filtrage de paquets de Windows
vendredi 1 juillet 2005. Lien permanent
Derniers commentaires