Le 6 décembre 2011

Doctor Web annonce l’apparition d’un nouveau backdoor, le BackDoor.Pads, qui collecte des informations sur le PC et les envoie aux malfaiteurs, et qui est capable de recevoir des commandes envoyées depuis un serveur distant.

Le programme malveillant BackDoor.Pads est écrit en langage Assembler et représente un module avec plusieurs composants. Suite au lancement du backdoor, le module malveillant effectue une recherche des fonctions API nécessaires pour son fonctionnement dans les bibliothèques systèmes Windows.

Les fonctions du BackDoor.Pads sont standards pour ce type de backdoor : il collecte des informations sur les PC infectés, y compris la version de l'OS, le nom du PC, l'adresse IP. Ensuite, il cherche à trouver le serveur-proxy en analysant les configurations d’Internet Explorer. De plus, le BackDoor.Pads cherche les processus lancés d’Internet Explorer, Firefox, Opera, Chrome, et autres clients de messagerie, et, lorsqu’il les a trouvés, lance un code indépendant. Si le trojan arrive à obtenir un token explorer.exe (le droit d’accès), il lance un keylogger dans le système. Ce module est ajouté dans les bases virales Dr.Web sous le nom de Trojan.PWS.Pads.

Les données rassemblées par le BackDoor.Pads sont envoyées sur le serveur des malfaiteurs. Les fonctions du BackDoor.Pads ressemblent aux fonctions d’un serveur telnet, mais il n’utilise pas d'interprétateur comme cmd.exe. Ses principales fonctions sont la recherche, les copies, le déplacement et la suppression de fichiers, la création et la suppression de dossiers, le redémarrage de Windows, la création d’une liste des processus lancés, le lancement de fichiers, y compris sous le nom d’un des utilisateurs. De plus, le BackDoor.Pads peut jouer le rôle d’un serveur proxy.

Le danger principal de ce malware consiste dans le fait qu’il est capable d'effectuer des tâches diverses en permettant aux malfaiteurs d’avoir un accès au PC infecté. La signature du BackDoor.Pads a été ajoutée aux bases virales Dr.Web, ce qui assure une protection complète pour les utilisateurs des Antivirus Dr.Web.