Troyen
Exchanger.JT

PREVENTION : Les utilisateurs concernés doivent mettre à jour leur antivirus. Il ne faut pas cliquer sur un lien contenu dans un message douteux sans avoir clairement identifié son expéditeur puis lui avoir fait le cas échéant confirmer l'envoi du message. D'une manière générale, même si son nom est intrigant ou attrayant il ne faut pas exécuter un fichier d'origine douteuse. DESINFECTION : Avant de commencer la désinfection, il est impératif de s'assurer avoir appliqué les mesures préventives ci-dessus pour éviter la réinfection de l'ordinateur. Les utilisateurs ne disposant pas d'un antivirus peuvent utiliser l'antivirus gratuit en ligne pour rechercher et supprimer Exchanger.JT et ses variantes.

TYPE :
Cheval de Troie

SYSTEME(S) CONCERNE(S) :
Windows

ALIAS :
TR/Crypt.XPACK.Gen (Antivir)
I-Worm/Nuwar.V (AVG)
Trojan.Downloader.Exchanger.W (BitDefender)
Trojan.DownLoad.3248 (DrWeb)
Win32/Collet!generic (eTrust)
W32/Tibs.BF!worm (Fortinet)
Trojan-Downloader.Win32.Exchanger.jt (F-Secure)
Trojan-Downloader.Win32.Exchanger.jt (Kaspersky)
BackDoor-DNM (McAfee)
TrojanDownloader:Win32/Agent.IP (Microsoft)
Win32/Agent.ETH (NOD32)
Bck/Agent.JOO (Panda)
Mal/EncPk-DA (Sophos)
Infostealer (Symantec)

TAILLE :
77 Ko

DECOUVERTE :
04/08/2008

DESCRIPTION DETAILLEE :
Exchanger.JT est un programme malicieux de type cheval de Troie, c'est-à-dire un programme hostile incapable de se multiplier et de se propager par lui-même contrairement aux virus. Il peut cependant arriver par courrier électronique car son auteur utilise la technique du spamming pour le diffuser. L'expéditeur du message est une adresse électronique usurpée ou générée automatiquement. Le titre du message est "CNN.com Daily Top 10".

Le corps du message est au format HTML. Il tente de se faire passer pour une sélection quotidienne des dix histoires et vidéos les plus vues de la chaîne de télévision américaine CNN, invitant le destinataire à cliquer sur les des liens hypertextes qu'il contient pour les visualiser. Quelques exemples de message :

Si l'internaute clique sur le lien, il est dirigé vers une page intitulée "Watch Free Movie - Update Every Hour!" simulant un problème d'affichage et invitant l'utilisateur à télécharger un fichier get_flash_update.exe, censé être une mise à jour du lecteur Adobe Flash, afin de pouvoir accéder au contenu souhaité :

Il ne faut pas cliquer sur les liens ni ouvrir le fichier get_flash_update.exe, car il s'agit en réalité d'un cheval de Troie. Si ce fichier est exécuté, le troyen s'installe sur le disque dur, ouvre une porte dérobée permettant la prise de contrôle à distance de l'ordinateur infecté par une personne malveillante, puis espionne les frappes au clavier pour tenter de dérober les identifiants d'accès aux sites sécurisés et aux services en ligne tels que les banques.

05/08/08 : diffusion d'une nouvelle variante du troyen (77 Ko) selon un scénario similaire, la page web vers laquelle les messages tentent de rediriger l'internaute ayant une nouvelle apparence. Intitulée "Video - Breaking News Videos from CNN.com", elle propose également d'installer une fausse mise à jour get_flash_update.exe (cheval de Troie) :

Cette variante est identifiée sous les noms TR/Dldr.Exchanger.KE (Antivir), I-Worm/Nuwar.V (AVG), Trojan.DownLoad.3248 (DrWeb), Win32/Collet!generic (eTrust), Trojan-Downloader.Win32.Exchanger.ke (Kaspersky), Trojan:Win32/Tibs.gen!K (Microsoft), Mal/EncPk-DA (Sophos), Backdoor.Trojan (Symantec).

06/08/08 : diffusion d'une nouvelle variante du troyen (77 Ko) selon un scénario identique. Elle est identifiée sous les noms TR/Crypt.XPACK.Gen (Antivir), I-Worm/Nuwar.V (AVG), Trojan.Downloader.Exchanger.Gen.2 (BitDefender), Trojan.Packed.595 (DrWeb), Trojan-Downloader.Win32.Exchanger.kt (F-Secure), Trojan-Downloader.Win32.Exchanger.kt (Kaspersky), Mal/EncPk-DA (Sophos), Downloader (Symantec).

07/08/08 : diffusion d'une nouvelle variante du cheval de Troie (77 Ko) selon un scénario similaire, le nom de la fausse mise à jour étant désormais adobe_flash.exe. Cette variante est identifiée sous les noms TR/Crypt.XPACK.Gen (Antivir), I-Worm/Nuwar.V (AVG), Trojan.Downloader.Exchanger.Gen.2 (BitDefender), Trojan.Packed.595 (DrWeb), Trojan-Downloader.Win32.Exchanger.la (Kaspersky), Trojan:Win32/Tibs.gen!K (Microsoft), W32/DLoader.IUGJ (Norman), W32/Nuwar.XW.worm (Panda), Mal/EncPk-DA (Sophos), Downloader (Symantec), TROJ_NUWAR.GFZ (Trend Micro).

08/08/08 : diffusion de la même variante du cheval de Troie (77 Ko) mais via un nouveau courrier électronique. Le titre du message est "CNN Alerts: My Custom Alert", l'expéditeur "CNN Alerts" et l'information présentée variable :

Le premier lien hypertexte renvoie véritablement vers le site de la chaîne CNN, alors que le lien "FULL STORY" renvoie vers une page web piégée proposant d'installer une fausse mise à jour du logiciel Adobe Flash Player.

09/08/08 : diffusion d'une nouvelle variante du cheval de Troie (77 Ko) selon un scénario similaire, le titre de la nouvelle et le lien "FULL STORY" conduisant désormais tous les deux à la page proposant d'installer une fausse mise à jour Flash Player. Cette variante est identifiée sous les noms TR/Crypt.XPACK.Gen (Antivir), I-Worm/Nuwar.V (AVG), Trojan.Downloader.Exchanger.Gen.2 (BitDefender), Trojan.DownLoad.3248 (DrWeb), Trojan-Downloader.Win32.Exchanger.lj (Kaspersky), Trojan:Win32/Tibs.gen!K (Microsoft), Mal/EncPk-DA (Sophos).

10/08/08 : diffusion d'une nouvelle variante du cheval de Troie (77 Ko) selon un scénario identique. Cette variante est identifiée sous les noms TR/Crypt.XPACK.Gen (Antivir), Win32:Trojan-gen (Avast), I-Worm/Nuwar.V (AVG), Trojan.Downloader.Exchanger.Gen.2 (BitDefender), Trojan.DownLoad.3248 (DrWeb), Trojan-Downloader.Win32.Exchanger.ly (Kaspersky), Trojan:Win32/Tibs.gen!K (Microsoft), Win32/Agent.ETH (NOD32), Mal/EncPk-DA (Sophos).

12/08/08 : diffusion d'une nouvelle variante du troyen (73 Ko) selon un scénario similaire. La page web vers laquelle les courriers électroniques malicieux tentent de rediriger l'internaute propose toujours d'installer une fausse mise à jour adobe_flash.exe (cheval de Troie) mais comporte désormais un bouton "Close the page" :

Si l'utilisateur clique sur ce bouton, une nouvelle fenêtre intitulée "Antivirus XP 2008" s'ouvre, affiche de faux résultats d'analyse indiquant que l'ordinateur est infecté, puis invite à télécharger un fichier scaner.exe pour y remédier :

Il ne faut pas télécharger la mise à jour Flash Player proposée ni installer le logiciel Antivirus XP 2008 concerné, car ces fichiers sont en réalité un seul et même cheval de Troie. Cette variante est identifiée sous les noms TR/Dldr.Exchanger.KE (Antivir), Win32/Heur (AVG), Trojan.Downloader.Exchanger.Gen.2 (BitDefender), Trojan.DownLoad.3248 (DrWeb), Win32/Collet.DN (eTrust), Trojan-Downloader.Win32.Exchanger.mf (F-Secure / Kaspersky), Trojan:Win32/Tibs.gen!K (Microsoft), Mal/EncPk-DA (Sophos), Downloader (Symantec).

INFORMATIONS COMPLEMENTAIRES :
-> Abonnement gratuit à la lettre Secuser Alerte pour être prévenu de l'apparition des nouveaux hoax et virus
-> Identifier les fausses alertes virus avec Hoaxkiller.fr
-> FAQ : des dizaines de messages infectés envahissent ma boîte aux lettres. Mon ordinateur est-il contaminé? Comment arrêter ça?
-> FAQ : une alerte m'indique qu'un virus a été trouvé dans un message que j'ai envoyé. Mon ordinateur est-il infecté?
-> FAQ : comment désinfecter le répertoire C:\RESTORE?
-> FAQ : que faire dans le cas d'un fichier "uncleanable" (non nettoyable)?
-> FAQ : comment supprimer un fichier en cours d'utilisation?
-> FAQ : qu'est-ce que le partage de fichiers et comment y mettre fin?
-> Dossier Secuser.com sur les virus