Le 24 mai 2012

Un nouveau bot IRC, BackDoor.IRC.IMBot.2 se propage. Comme les autres versions de la même famille, ce bot est capable d'envoyer du spam via les messageries instantanées, de télécharger et de lancer des fichiers exécutables ainsi que d’exécuter les commandes d’un serveur distant pour lancer des attaques DDoS.

Il existe un grand nombre de modifications des trojans utilisant le protocole IRC (Internet Relay Chat) permettant d’effectuer un échange de messages en temps réel. De plus en plus de nouvelles versions des bots IRC apparaissent. Le BackDoor.IRC.IMBot.2, néanmoins, se différencie des autres versions de la même catégorie.

BackDoor.IRC.IMBot.2 se propage de la même façon que les autres bot IRC: il sauvegarde une copie de lui-même sur les périphériques amovibles sous le nom d’usb_driver.com et crée un fichier autorun.inf dans le répertoire racine du disque, ceci lui permettant de lancer le trojan lorsque le périphérique est lancé (sauf si cette fonctionnalité a été bloquée auparavant sur le PC).

Après son lancement dans le système infecté, BackDoor.IRC.IMBot.2 sauvegarde une copie de lui-même dans le dossier d’installation Windows et modifie la branche de la base de registre relatif à l’autodémarrage des applications. BackDoor.IRC.IMBot.2 modifie également les configurations du pare-feu Windows pour établir une connexion Internet.

Le trait caractéristique de ce bot est le mécanisme de recherche des processus portant les noms dumpcap, SandboxStarter, tcpview, procmon, filemon. Suite à son lancement sur le PC de l’utilisateur, le trojan s’adresse à la branche de la base du registre HKEY_PERFORMANCE_DATA relatif à la performance du PC et recherche, avec l’aide des compteurs de performance, les processus lancés dans le système. Cet algorithme est particulièrement intéressant car il n’a pas encore été utilisé dans les programmes malveillants de cette famille.

BackDoor.IRC.IMBot.2 est capable de télécharger et de lancer les fichiers exécutables sur le PC infecté, de propager du spam dans les messageries instantanées MSN Messenger, AOL Instant Messenger, Yahoo! Messenger, et de lancer des attaques DDoS sur commande du serveur distant. La signature de la menace a été ajoutée aux bases virales Dr.Web.