Fireball

Le logiciel Fireball peut être trouvé sur plus de 250 millions d'ordinateurs à travers le monde, et ce n'est pas un nouveau client Internet chic, un lecteur multimédia ou un client de messagerie. La menace a été localisée sur les machines en Inde, en Chine, au Brésil, au Mexique et en Indonésie. Fireball est un programme de type adware qui est considéré comme l'une des plus mauvaises menaces du monde cybernétique à ce jour. Le logiciel publicitaire Fireball est distribué aux utilisateurs via packs de logiciels gratuits (gratuiciels) contenant des applications comme 'Mustang Browser' et 'Deal Wifi' de Rafotech, société basée à Pékin. Pirater votre navigateur web et faciliter l'accès d'autres menaces à votre système à l'aide de ses publicités ciblées, ce sont les fonctions principales du parasite cybernétique Fireball. Certains peuvent se demander pourquoi Fireball est considéré comme adware compte tenu de son potentiel ajouté. L'objectif du programme Fireball, c'est l'affichage de publicités ciblées, ainsi que le détournement de la page de démarrage de l'utilisateur et son moteur de recherche par défaut. De plus, la nouvelle page d'onglet dans le navigateur des ordinateurs affectés est contrôlée par Fireball. L'adware Fireball est conçu pour envoyer des données aux serveurs des annonces Yahoo et AdWords de Google et pour aider Rafotech à gagner des revenus publicitaires.

Comme mentionné ci-dessus, Fireball n'est pas un adware ordinaire, il peut se connecter à des serveurs distants, télécharger et exécuter un code qui n'est pas signé, ainsi charger des pixels espions (pixels invisibles) dans le système et permettre à Rafotech de suivre l'activité de l'utilisateur sur les sites proposant des publicités par l'entreprise. Les chercheurs en matière de sécurité informatique alertent que l'adware Fireball peut être utilisé pour télécharger des menaces sur les ordinateurs et connecter des machines à un botnet si ses opérateurs décident de le faire. Imaginez si même la moitié des ordinateurs affectés par Fireball sont utilisés pour des attaques DDoS (Distributed Denial of Service) sur un réseau d'entreprise. Selon les statistiques un peu plus de 20% des réseaux d'entreprises du monde sont concernés par le logiciel publicitaire Fireball. L'adware Fireball peut utiliser des pixels espions, représentant de petits bits de données qui peuvent être injectés dans le navigateur web et qui permettent aux serveurs publicitaires de reconnaître votre ordinateur sur Internet. La technologie peut être utilisée pour rediriger les utilisateurs vers des portails de phishing et pour permettre au publiciel Fireball de remplacer les annonces légitimes par un contenu provenant de sources douteuses. Il arrive que les utilisateurs de PC qui sont infectés par l'adware Fireball soient redirigés vers des sites Web chinois. Il convient de noter aussi que lors de leurs navigation en ligne ils seront constamment redirigés. Les systèmes affectés par l'adware Fireball peuvent fonctionner plus lentement et même empêcher les internautes à télécharger de torrents en utilisant leur connexion Internet à haut débit. Vous pouvez éliminer l'adware Fireball à l'aide d'un programme anti-malware approuvé et empêcher l'accès aux pages corrompues en ajoutant un filtre Web à votre système.

Table des matières

Toggle

Bulletin d'analyse

Informations générales

Family Name:	Adware.Multiplug.A
Signature status:	No Signature

Known Samples

i

Known Samples

This section lists other file samples believed to be associated with this family.

MD5: 405d3a9ad89a0504cbf9f359b57db976 SHA1: c7914663ae3cfaaf48901778f935740d7b581f85 SHA256: BFB0181B191C5ED528740899F4D7DF466D2A2AB73BF7E5EAF48E0170A2042B17 Taille du fichier: 299.52 KB, 299520 bytes

MD5: b0508bdec7bdc8acd18176ebca97c733 SHA1: 1c5b56eeffb956797c9c0fb56db6a678a3463eb9 SHA256: CC73A37BCFF174179CB1C03910628C70DB5BE70D0FD9E41982C668F4E4CDEE18 Taille du fichier: 385.02 KB, 385024 bytes

Windows Portable Executable Attributes

i

Windows Portable Executable Attributes

This section lists file attributes found within family samples. These attributes are extracted from the files’ Windows PE (Portable Executable) specification and various system flags. Portable Executable Attributes give malware researchers insight into a file’s functionality, executable details, platform and runtime environment.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File doesn't have security information
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)

Show More

• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

File Icons

i

File Icons

This section displays icon resources found within family samples. Malware often replicates icons commonly associated with legitimate software to mislead users into believing the malware is safe.

File Traits

• HighEntropy
• No Version Info
• x86

Block Information

i

Block Information

During analysis, EnigmaSoft breaks file samples into logical blocks for classification and comparison with other samples. Blocks can be used to generate malware detection rules and to group file samples into families based on shared source code, functionality and other distinguishing attributes and characteristics. This section lists a summary of this block data, as well as its classification by EnigmaSoft. A visual representation of the block data is also displayed, where available.

Total Blocks:	305
Potentially Malicious Blocks:	72
Whitelisted Blocks:	219
Unknown Blocks:	14

Visual Map

x x x x x x 0 x x x x x ? ? x x x 0 x x 0 x x ? x x x x 0 x ? x 0 0 x x x x x x 0 0 0 0 x x x x x x x x 0 0 0 0 0 0 x 0 0 0 x x x x x x x x x 0 x 0 0 0 0 0 x x x x x x x x x x 0 0 x 0 0 x 0 0 0 0 0 x 0 0 0 0 0 x ? ? ? ? ? x ? x x x x ? 0 x x x 0 0 0 x 0 0 ? ? ? 0 2 0 0 0 1 0 1 0 0 0 0 0 0 0 0 0 0 0 0 1 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 2 3 0 0 1 0 0 0 0 1 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 2 2 1 0 0 1 0 1 1 0 0 0 0 0 1 0 0 0 0 0 2 1 1 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0

0 - Probable Safe Block
? - Unknown Block
x - Potentially Malicious Block

Similar Families

i

Similar Families

This section lists other families that share similarities with this family, based on EnigmaSoft’s analysis. Many malware families are created from the same malware toolkits and use the same packing and encryption techniques but uniquely extend functionality. Similar families may also share source code, attributes, icons, subcomponents, compromised and/or invalid digital signatures, and network characteristics. Researchers leverage these similarities to rapidly and effectively triage file samples and extend malware detection rules.

• Multiplug.A

Files Modified

i

Files Modified

This section lists files that were created, modified, moved and/or deleted by samples in this family. File system activity can provide valuable insight into how malware functions on the operating system.

File	Attributes
\device\namedpipe\srvsvc	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\programdata\{726cb2ac-2e2f-1810-726c-cb2ac2e2cab0}\c7914663ae3cfaaf48901778f935740d7b581f85_0000299520	Generic Write,Read Attributes
c:\programdata\{726cb2ac-2e2f-1810-726c-cb2ac2e2cab0}\c7914663ae3cfaaf48901778f935740d7b581f85_0000299520.dat	Generic Write,Read Attributes
c:\programdata\{e9fb6cd1-1695-24bb-e9fb-b6cd1169b344}\1c5b56eeffb956797c9c0fb56db6a678a3463eb9_0000385024	Generic Write,Read Attributes
c:\programdata\{e9fb6cd1-1695-24bb-e9fb-b6cd1169b344}\1c5b56eeffb956797c9c0fb56db6a678a3463eb9_0000385024.dat	Generic Write,Read Attributes
c:\users\user\appdata\roaming\microsoft\windows\start menu\programs\startup\1c5b56eeffb956797c9c0fb56db6a678a3463eb9_0000385024.lnk	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\windows\tasks\bidaily synchronize task.job	Generic Write,Read Attributes

Registry Modifications

i

Registry Modifications

This section lists registry keys and values that were created, modified and/or deleted by samples in this family. Windows Registry activity can provide valuable insight into malware functionality. Additionally, malware often creates registry values to allow itself to automatically start and indefinitely persist after an initial infection has compromised the system.

Key::Value	Données	API Name
HKCU\software\microsoft\windows\currentversion\internet settings\5.0\cache\content::cacheprefix		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\5.0\cache\cookies::cacheprefix	Cookie:	RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\5.0\cache\history::cacheprefix	Visited:	RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::proxybypass		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::intranetname		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::uncasintranet		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::autodetect		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::proxybypass		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::intranetname		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::uncasintranet		RegNtPreCreateKey

Show More

HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::autodetect

RegNtPreCreateKey

Windows API Usage

i

Windows API Usage

This section lists Windows API calls that are used by the samples in this family. Windows API usage analysis is a valuable tool that can help identify malicious activity, such as keylogging, security privilege escalation, data encryption, data exfiltration, interference with antivirus software, and network request manipulation.

Category	API
Network Info Queried	GetAdaptersInfo
Network Winhttp	WinHttpOpen
User Data Access	GetUserName