Trojan.Delf.VH

Trojan.Delf.VH est un cheval de Troie Windows classé comme menace à haut risque, dont le niveau de danger le place parmi les logiciels malveillants capables de causer des dommages graves et durables à un système infecté. Identifié pour la première fois en 2009, ce logiciel malveillant continue de réapparaître sous diverses formes, ce qui signifie que les utilisateurs d'ordinateurs doivent encore aujourd'hui être conscients de son mode de fonctionnement et des moyens de s'en protéger.

Que fait Trojan.Delf.VH ?

Une fois infiltré dans un système, Trojan.Delf.VH s'installe discrètement et s'exécute en arrière-plan sans éveiller les soupçons. Conçu pour se dissimuler sous l'apparence d'un programme légitime, il utilise parfois des descriptions de fichiers ou des noms de produits similaires à ceux de logiciels utilitaires courants, ce qui lui permet d'échapper à la vigilance des utilisateurs. Derrière cette façade, le cheval de Troie peut exécuter diverses actions malveillantes, notamment collecter des informations sur l'ordinateur infecté, telles que le nom d'utilisateur et le nom du système. Plus grave encore, Trojan.Delf.VH peut permettre à des attaquants distants de prendre un contrôle étendu de la machine compromise. Ils peuvent ainsi supprimer des fichiers à leur insu, installer des logiciels indésirables ou malveillants et manipuler le système sans le consentement de son propriétaire.

Comment cela se retrouve généralement sur les ordinateurs

Le cheval de Troie Trojan.Delf.VH se propage généralement en exploitant les vulnérabilités et les failles de sécurité des systèmes. Il est souvent inclus dans des logiciels téléchargés depuis des sites web malveillants ou compromis, ou distribué en pièce jointe par courriel provenant d'expéditeurs inconnus ou non fiables. Ces pièces jointes peuvent être des fichiers exécutables, mais les attaquants peuvent également les dissimuler sous d'autres extensions, y compris des formats que les utilisateurs n'associeraient pas spontanément à un danger, tels que les fichiers image ou vidéo. Ce camouflage vise à tromper les utilisateurs et à les inciter à ouvrir le fichier, en leur faisant croire qu'il est inoffensif.

Risques pour l’utilisateur

Étant donné que Trojan.Delf.VH confère aux attaquants un contrôle important sur un système infecté, les risques sont considérables. Les utilisateurs peuvent subir des pertes de données dues à la suppression de fichiers, de nouvelles infections par des logiciels malveillants supplémentaires installés sans leur consentement, et une possible divulgation d'informations personnelles ou système collectées par le cheval de Troie. Comme il opère silencieusement, les victimes peuvent rester indétectées pendant une période prolongée, laissant ainsi aux attaquants tout le temps nécessaire pour exploiter le système compromis.

Signes d’infection

Les chevaux de Troie comme Trojan.Delf.VH sont conçus pour échapper à la détection, et leurs symptômes sont donc souvent absents. Toutefois, les utilisateurs doivent rester vigilants face à tout comportement inhabituel du système, comme des ralentissements inattendus, des processus inconnus s'exécutant en arrière-plan, des fichiers disparaissant sans explication, l'apparition de nouveaux programmes non installés intentionnellement ou une activité réseau anormale. Cette menace ne possédant pas de signature numérique valide, les outils de sécurité peuvent la signaler comme un logiciel non signé ou suspect.

Comment rester protégé

Pour réduire les risques d'infection, il est conseillé d'éviter de télécharger des logiciels depuis des sites web inconnus ou non fiables et de ne pas ouvrir les pièces jointes provenant de sources inconnues ou inattendues, quelle que soit leur extension. La mise à jour régulière du système d'exploitation Windows et des applications installées avec les derniers correctifs de sécurité permet de corriger les vulnérabilités exploitées par des menaces telles que Trojan.Delf.VH pour s'installer silencieusement. L'utilisation d'un logiciel de sécurité fiable et à jour, ainsi que la réalisation d'analyses système régulières, contribuent à détecter et à supprimer ces menaces avant qu'elles ne causent des dommages importants. Enfin, la sauvegarde régulière des fichiers importants garantit la récupération des données même en cas de compromission du système.

Bulletin d'analyse

Informations générales

Nom de famille :	Trojan.Delf.VH
Statut de la signature :	No Signature

Échantillons connus

i

Échantillons connus

Cette section répertorie d'autres exemples de fichiers que l'on pense être associés à cette famille.

MD5: 1b62153c0aaa2f7b17d2706df8d097f0 SHA1: 1f207d72b59ec952b4f727a6fd225eb224cccb84 SHA256: DD24EC1DA7941585BBB5C87C7DC39B130233E6D72BA2921DE3C68D856B397B66 Taille du fichier: 781.82 KB 781824 octets

Attributs des exécutables portables Windows

i

Attributs des exécutables portables Windows

Cette section répertorie les attributs de fichiers présents dans les échantillons de la famille. Ces attributs sont extraits de la spécification Windows PE (Portable Executable) des fichiers et de divers indicateurs système. Les attributs des exécutables portables permettent aux chercheurs en sécurité informatique d'obtenir des informations sur les fonctionnalités, les détails d'exécution, la plateforme et l'environnement d'exécution d'un fichier.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File doesn't have security information
• File has TLS information
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed

Show 2 more

• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Icônes de fichiers

i

Icônes de fichiers

Cette section présente les ressources d'icônes trouvées dans les échantillons de la famille. Les logiciels malveillants reproduisent souvent des icônes couramment associées à des logiciels légitimes afin d'induire les utilisateurs en erreur et de leur faire croire qu'ils sont sûrs.

Informations sur la version de Windows PE

i

Informations sur la version de Windows PE

Cette section présente les valeurs et les attributs définis dans la structure de données des informations de version des fichiers Windows pour les échantillons de cette famille. Afin de tromper les utilisateurs, les auteurs de logiciels malveillants ajoutent souvent de fausses informations de version imitant celles des logiciels légitimes.

Nom	Évaluer
Comments	Prerelease build
Company Name	Alexander Yelin
File Description	Diagnostics Utility for Inpro(R) IDC BXL/VR Modems
File Version	1.0.2.33
Internal Name	Idcdiag
Legal Copyright	Copyright (C) 2001-2003 by Alexander Yelin
Original Filename	IDCDiag
Product Name	IDC Modems Diagnostics
Product Version	Version 1.0.2

Caractéristiques du fichier

• x86

Informations sur le bloc

i

Informations sur le bloc

Lors de l'analyse, EnigmaSoft segmente les échantillons de fichiers en blocs logiques afin de les classer et de les comparer à d'autres échantillons. Ces blocs permettent de générer des règles de détection de logiciels malveillants et de regrouper les échantillons de fichiers en familles en fonction du code source partagé, des fonctionnalités et d'autres attributs et caractéristiques distinctifs. Cette section présente un résumé de ces données de bloc, ainsi que leur classification par EnigmaSoft. Une représentation visuelle des données de bloc est également affichée, le cas échéant.

Nombre total de blocs :	2,225
Blocages potentiellement malveillants :	1
Blocs autorisés :	2,150
Blocs inconnus :	74

Carte visuelle

... Données tronquées

0 - Blocage probable du coffre-fort
? - Bloc inconnu
x - Blocage potentiellement malveillant

Familles similaires

i

Familles similaires

Cette section répertorie d'autres familles de logiciels malveillants présentant des similitudes avec celle-ci, d'après l'analyse d'EnigmaSoft. De nombreuses familles de logiciels malveillants sont créées à partir des mêmes kits d'outils et utilisent les mêmes techniques d'encapsulation et de chiffrement, tout en étendant leurs fonctionnalités de manière unique. Les familles similaires peuvent également partager le même code source, les mêmes attributs, les mêmes icônes, les mêmes sous-composants, les mêmes signatures numériques compromises ou invalides, ainsi que les mêmes caractéristiques réseau. Les chercheurs exploitent ces similitudes pour trier rapidement et efficacement les échantillons de fichiers et étendre les règles de détection des logiciels malveillants.

• Banload.XT
• BruteForce.X
• IstBar.X
• Kryptik.BDEA
• Trojan.Injector.Gen.GYD

Show 1 more

• Trojan.Kryptik.Gen.FZB

Fichiers modifiés

i

Fichiers modifiés

Cette section répertorie les fichiers créés, modifiés, déplacés et/ou supprimés par les échantillons de cette famille. L'activité du système de fichiers peut fournir des informations précieuses sur le fonctionnement des logiciels malveillants au sein du système d'exploitation.

Déposer	Attributs
\device\namedpipe\gmdasllogger	Generic Write,Read Attributes

Modifications du registre

i

Modifications du registre

Cette section répertorie les clés et valeurs de registre créées, modifiées et/ou supprimées par les échantillons de cette famille. L'activité du registre Windows peut fournir des informations précieuses sur le fonctionnement des logiciels malveillants. De plus, ces derniers créent souvent des valeurs de registre pour pouvoir démarrer automatiquement et persister indéfiniment après une infection initiale du système.

Clé::Valeur	Données	Nom de l'API
HKLM\software\wow6432node\microsoft\tracing::enableconsoletracing		RegNtPreCreateKey
HKLM\software\wow6432node\microsoft\tracing\tapi32::enablefiletracing		RegNtPreCreateKey
HKLM\software\wow6432node\microsoft\tracing\tapi32::enableautofiletracing		RegNtPreCreateKey
HKLM\software\wow6432node\microsoft\tracing\tapi32::enableconsoletracing		RegNtPreCreateKey
HKLM\software\wow6432node\microsoft\tracing\tapi32::filetracingmask	￿	RegNtPreCreateKey
HKLM\software\wow6432node\microsoft\tracing\tapi32::consoletracingmask	￿	RegNtPreCreateKey
HKLM\software\wow6432node\microsoft\tracing\tapi32::maxfilesize		RegNtPreCreateKey
HKLM\software\wow6432node\microsoft\tracing\tapi32::filedirectory	%windir%\tracing	RegNtPreCreateKey

Utilisation de l’API Windows

i

Utilisation de l'API Windows

Cette section répertorie les appels d'API Windows utilisés par les exemples de cette famille. L'analyse de l'utilisation des API Windows est un outil précieux permettant d'identifier les activités malveillantes, telles que l'enregistrement des frappes au clavier, l'élévation de privilèges, le chiffrement et l'exfiltration de données, l'interférence avec les logiciels antivirus et la manipulation des requêtes réseau.

Catégorie	API
User Data Access	GetComputerName GetUserObjectInformation