Le 17 septembre 2012

Pendant plusieurs mois, la deuxième menace la plus répandue détectée sur les ordinateurs des utilisateurs était le trojan BackDoor.Butirat.91. Nous vous proposons les résultats de l’étude de ce trojan effectuée par les analystes de Doctor Web.

BackDoor.Butirat.91 est un backdoor capable de télécharger et de lancer des fichiers exécutables sur le PC ainsi que de voler les mots de passe des clients FTP. Pour un utilisateur, cela signifie perdre des données confidentielles et même la possibilité de perdre le contrôle de son propre PC.

Au moment de son lancement, le programme malveillant accède à la base de registre Windows pour vérifier si une copie de ce programme n’est pas encore installée sur le PC : si le PC est déjà infecté par BackDoor.Butirat.91, le trojan arrête son installation.

Au moment de l'installation, BackDoor.Butirat.91 crée une copie de lui-même dans un des dossiers système et ensuite modifie la branche du registre relative à l’auto démarrage des applications.

Pour conserver ses données, le trojan utilise un fichier spécialisé se trouvant dans le même dossier que le module malveillant principal du trojan.

Suite à son lancement, le trojan établit une connexion avec un serveur distant pour recevoir des commandes codées. L’un des objectif principaux du BackDoor.Butirat.91 est de voler les mots de passe des clients FTP les plus répandus, notamment FlashFXP, Total Commander, Filezilla, FAR, WinSCP, FtpCommander, SmartFTP et de les transmettre aux pirates. Le trojan est également capable de télécharger des fichiers exécutables et de faire monter les résultats des compteurs de nombre de visites sur des pages web. Le trojan fait trois essais pour télécharger le fichier demandé par les pirates, un essai toutes les 60 secondes.

La signature de cette menace se trouve dans les bases virales Dr.Web et les utilisateurs Doctor Web ne sont pas menacés par le BackDoor.Butirat.91, mais vu le niveau de propagation du trojan, les spécialistes conseillent de faire une analyse du PC avec le scanner antivirus ou avec Dr.Web CureIt!.