Analysé par: Patrick Noel Collado   

 

Trojan-Spy.Win32.Perfloger.W (Ikarus), Win32/PerfectKeylogger application (Nod32)

 Plate-forme:

Windows

 Overall Risk:
 Dommages potentiels:
 Distribution potentielle:
 Infection signalée:
 Information Exposure Rating:
Faible
Medium
Élevé
Critique

  • Type de grayware:
    Trojan

  • Destructif:
    Non

  • Chiffrement:
     

  • In the wild:
    Oui

  Overview

Voie d'infection: Téléchargé à partir d'Internet, Lâché par un autre malware

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

  Détails techniques

File size: 881,164 bytes
File type: EXE
Memory resident: Oui
Date de réception des premiers échantillons: 26 mai 2021
Charge malveillante: Drops files

Précisions sur l'apparition de l'infection

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Introduit les fichiers suivants :

  • %User Temp%\RarSFX0\void
  • %User Temp%\RarSFX0\bpk.bin
  • %User Temp%\RarSFX0\apps.dat
  • %User Temp%\RarSFX0\rinst.dat
  • %User Temp%\RarSFX0\titles.dat
  • %User Temp%\RarSFX0\bsdhooks.dll - Detected as TROJ_PERFECT.A
  • %User Temp%\RarSFX0\web.dll - Detected as SPYWARE_KEYL_PERFECTKEYLOGGER
  • %User Temp%\RarSFX0\__original.exe
  • %User Temp%\RarSFX0\bpk.exe - Detected as TSPY_KEYLOG
  • %User Temp%\RarSFX0\rinst.exe - Detected as TROJ_PERFECT.A
  • %User Temp%\INS86D5.tmp
  • %User Temp%\is-E2OLA.tmp\_shfoldr.dll
  • %System%\bpk.exe - Detected as TSPY_KEYLOG
  • %System%\rinst.exe - Detected as TROJ_PERFECT.A
  • %System%\bsdhooks.dll - Detected as TROJ_PERFECT.A
  • %System%\web.dll - Detected as SPYWARE_KEYL_PERFECTKEYLOGGER
  • %System%\bpk.bin
  • %System%\apps.dat
  • %System%\titles.dat
  • %System%\rinst.dat

(Remarque : %User Temp% est le dossier temporaire de l'utilisateur actuel, le plus souvent C:\Documents and Settings\{nom de l'utilisateur}\Local Settings\Temp sous Windows 2000(32-bit), XP et Server 2003(64-bit) et de C:\Users\{nom de l'utilisateur}\AppData\Local\Temp sous Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) et 10(64-bit).. %System% est le dossier système de Windows, le plus souvent C:\Windows\System sous Windows 98 et ME, C:\WINNT\System32 sous Windows NT et 2000 ou C:\Windows\System32 sous Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) et 10(64-bit).)

Ajoute les processus suivants :

  • %User Temp%\RarSFX0\rinst.exe
  • %User Temp%\RarSFX0\__original.exe
  • %System%\bpk.exe
  • %User Temp%\INS86D5.tmp /SL3 $F0240 %User Temp%\RarSFX0\__original.exe 731394 734796 61440

(Remarque : %User Temp% est le dossier temporaire de l'utilisateur actuel, le plus souvent C:\Documents and Settings\{nom de l'utilisateur}\Local Settings\Temp sous Windows 2000(32-bit), XP et Server 2003(64-bit) et de C:\Users\{nom de l'utilisateur}\AppData\Local\Temp sous Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) et 10(64-bit).. %System% est le dossier système de Windows, le plus souvent C:\Windows\System sous Windows 98 et ME, C:\WINNT\System32 sous Windows NT et 2000 ou C:\Windows\System32 sous Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) et 10(64-bit).)

Autres modifications du système

Ajoute les entrées de registre suivantes :

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
BPK = %System%\bpk.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
BPK.IESpy.1
(default) = IESpy Class

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
BPK.IESpy.1\CLSID
(default) = {1E1B2879-88FF-11D3-8D96-D7ACAC95951F}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
BPK.IESpy
(default) = IESpy Class

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
BPK.IESpy\CLSID
(default) = {1E1B2879-88FF-11D3-8D96-D7ACAC95951F}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
BPK.IESpy\CurVer
(default) = BPK.IESpy.1

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{1E1B2879-88FF-11D3-8D96-D7ACAC95951F}
(default) = IESpy Class

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{1E1B2879-88FF-11D3-8D96-D7ACAC95951F}\ProgID
(default) = BPK.IESpy.1

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{1E1B2879-88FF-11D3-8D96-D7ACAC95951F}\VersionIndependentProgID
(default) = BPK.IESpy

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{1E1B2879-88FF-11D3-8D96-D7ACAC95951F}\InprocServer32
(default) = %System%\web.dll

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{1E1B2879-88FF-11D3-8D96-D7ACAC95951F}\InprocServer32
ThreadingModel = Apartment

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{1E1B2879-88FF-11D3-8D96-D7ACAC95951F}\TypeLib
(default) = {1E1B286C-88FF-11D3-8D96-D7ACAC95951F}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Browser Helper Objects\{1E1B2879-88FF-11D3-8D96-D7ACAC95951F}
(default) = BPK IE Plugin

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{1E1B286C-88FF-11D3-8D96-D7ACAC95951F}\1.0
(default) = BPK IE Plugin Type Library

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{1E1B286C-88FF-11D3-8D96-D7ACAC95951F}\1.0\
FLAGS
(default) = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{1E1B286C-88FF-11D3-8D96-D7ACAC95951F}\1.0\
0\win32
(default) = %System%\web.dll

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{1E1B286C-88FF-11D3-8D96-D7ACAC95951F}\1.0\
HELPDIR
(default) = %System%\

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{1E1B2878-88FF-11D3-8D96-D7ACAC95951F}
(default) = IViewSource

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{1E1B2878-88FF-11D3-8D96-D7ACAC95951F}\ProxyStubClsid
(default) = {00020424-0000-0000-C000-000000000046}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{1E1B2878-88FF-11D3-8D96-D7ACAC95951F}\ProxyStubClsid32
(default) = {00020424-0000-0000-C000-000000000046}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{1E1B2878-88FF-11D3-8D96-D7ACAC95951F}\TypeLib
(default) = {1E1B286C-88FF-11D3-8D96-D7ACAC95951F}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{1E1B2878-88FF-11D3-8D96-D7ACAC95951F}\TypeLib
Version = 1.0

Autres précisions

Ajoute les clés de registre suivantes :

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
BPK.IESpy

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
BPK.IESpy.1

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
BPK.IESpy.1\CLSID

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
BPK.IESpy\CLSID

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
BPK.IESpy\CurVer

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{1E1B2879-88FF-11D3-8D96-D7ACAC95951F}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{1E1B2879-88FF-11D3-8D96-D7ACAC95951F}\ProgID

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{1E1B2879-88FF-11D3-8D96-D7ACAC95951F}\VersionIndependentProgID

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{1E1B2879-88FF-11D3-8D96-D7ACAC95951F}\Programmable

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{1E1B2879-88FF-11D3-8D96-D7ACAC95951F}\InprocServer32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{1E1B2879-88FF-11D3-8D96-D7ACAC95951F}\TypeLib

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Browser Helper Objects\{1E1B2879-88FF-11D3-8D96-D7ACAC95951F}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{1E1B286C-88FF-11D3-8D96-D7ACAC95951F}\1.0

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{1E1B286C-88FF-11D3-8D96-D7ACAC95951F}\1.0\
FLAGS

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{1E1B286C-88FF-11D3-8D96-D7ACAC95951F}\1.0\
0

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{1E1B286C-88FF-11D3-8D96-D7ACAC95951F}\1.0\
0\win32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{1E1B286C-88FF-11D3-8D96-D7ACAC95951F}\1.0\
HELPDIR

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{1E1B2878-88FF-11D3-8D96-D7ACAC95951F}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{1E1B2878-88FF-11D3-8D96-D7ACAC95951F}\ProxyStubClsid

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{1E1B2878-88FF-11D3-8D96-D7ACAC95951F}\ProxyStubClsid32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{1E1B2878-88FF-11D3-8D96-D7ACAC95951F}\TypeLib

  Solutions

Moteur de scan minimum: 9.800
First VSAPI Pattern File: 9.241.50
First VSAPI Pattern Release Date: 06 juillet 2012
VSAPI OPR Pattern Version: 9.242.00
VSAPI OPR Pattern Release Date: 07 juillet 2012

Step 1

En cas d"utilisation de Windows ME ou XP, avant de procéder à un scan, assurez-vous de désactiver l’option de restauration du système afin que l’opération de scan soit complète sur votre ordinateur.

Step 2

Note that not all files, folders, and registry keys and entries are installed on your computer during this malware's/spyware's/grayware's execution. This may be due to incomplete installation or other operating system conditions. If you do not find the same files/folders/registry information, please proceed to the next step.

Step 3

Identifier et mettre fin à des fichiers détectés comme étant TROJ_PERFECT.A

[ suite ]
  1. Sous Windows 98 ou ME, il se peut que le gestionnaire de tâches Windows n"affiche pas tous les processus en cours. Dans ce cas, veuillez utiliser le gestionnaire de tâches d"une application tierce, si possible Process Explorer, pour mettre fin au processus du programme malveillant/grayware/programme espion. Vous pouvez télécharger l"outil en question ici.
  2. Si le fichier détecté est affiché dans le gestionnaire de tâches Windows ou dans Process Explorer, mais que vous ne pouvez pas le supprimer, redémarrez l"ordinateur en mode sans échec. Consultez ce lien pour obtenir le détail des étapes à suivre.
  3. Si le fichier détecté n"est pas affiché dans le gestionnaire de tâches Windows, ni dans Process Explorer, passez aux étapes suivantes.

Step 4

Supprimer cette valeur de registre

[ suite ]

Important : une modification incorrecte du registre Windows risque de générer des problèmes irréversibles au niveau du système. Ne procédez à cette opération que si vous êtes un utilisateur expérimenté. Vous pouvez aussi demander de l"aide auprès de votre administrateur système. Sinon, commencez par consulter cet article Microsoft avant de modifier le registre de votre ordinateur.

 
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
    • BPK = %System%\bpk.exe

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\BPK.IESpy.1
    • (default) = IESpy Class

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\BPK.IESpy.1\CLSID
    • (default) = {1E1B2879-88FF-11D3-8D96-D7ACAC95951F}

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\BPK.IESpy
    • (default) = IESpy Class

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\BPK.IESpy\CLSID
    • (default) = {1E1B2879-88FF-11D3-8D96-D7ACAC95951F}

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\BPK.IESpy\CurVer
    • (default) = BPK.IESpy.1

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{1E1B2879-88FF-11D3-8D96-D7ACAC95951F}
    • (default) = IESpy Class

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{1E1B2879-88FF-11D3-8D96-D7ACAC95951F}\ProgID
    • (default) = BPK.IESpy.1

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{1E1B2879-88FF-11D3-8D96-D7ACAC95951F}\VersionIndependentProgID
    • (default) = BPK.IESpy

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{1E1B2879-88FF-11D3-8D96-D7ACAC95951F}\InprocServer32
    • (default) = %System%\web.dll

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{1E1B2879-88FF-11D3-8D96-D7ACAC95951F}\InprocServer32
    • ThreadingModel = Apartment

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{1E1B2879-88FF-11D3-8D96-D7ACAC95951F}\TypeLib
    • (default) = {1E1B286C-88FF-11D3-8D96-D7ACAC95951F}

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{1E1B2879-88FF-11D3-8D96-D7ACAC95951F}
    • (default) = BPK IE Plugin

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{1E1B286C-88FF-11D3-8D96-D7ACAC95951F}\1.0
    • (default) = BPK IE Plugin Type Library

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{1E1B286C-88FF-11D3-8D96-D7ACAC95951F}\1.0\FLAGS
    • (default) = 0

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{1E1B286C-88FF-11D3-8D96-D7ACAC95951F}\1.0\0\win32
    • (default) = %System%\web.dll

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{1E1B286C-88FF-11D3-8D96-D7ACAC95951F}\1.0\HELPDIR
    • (default) = %System%\

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{1E1B2878-88FF-11D3-8D96-D7ACAC95951F}
    • (default) = IViewSource

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{1E1B2878-88FF-11D3-8D96-D7ACAC95951F}\ProxyStubClsid
    • (default) = {00020424-0000-0000-C000-000000000046}

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{1E1B2878-88FF-11D3-8D96-D7ACAC95951F}\ProxyStubClsid32
    • (default) = {00020424-0000-0000-C000-000000000046}

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{1E1B2878-88FF-11D3-8D96-D7ACAC95951F}\TypeLib
    • (default) = {1E1B286C-88FF-11D3-8D96-D7ACAC95951F}

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{1E1B2878-88FF-11D3-8D96-D7ACAC95951F}\TypeLib
    • Version = 1.0

Step 5

Supprimer cette clé de registre

[ suite ]

Important : une modification incorrecte du registre Windows risque de générer des problèmes irréversibles au niveau du système. Ne procédez à cette opération que si vous êtes un utilisateur expérimenté. Vous pouvez aussi demander de l"aide auprès de votre administrateur système. Sinon, commencez par consulter cet article Microsoft avant de modifier le registre de votre ordinateur.

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\BPK.IESpy

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\BPK.IESpy.1

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\BPK.IESpy.1\CLSID

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\BPK.IESpy\CLSID

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\BPK.IESpy\CurVer

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{1E1B2879-88FF-11D3-8D96-D7ACAC95951F}

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{1E1B2879-88FF-11D3-8D96-D7ACAC95951F}\ProgID

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{1E1B2879-88FF-11D3-8D96-D7ACAC95951F}\VersionIndependentProgID

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{1E1B2879-88FF-11D3-8D96-D7ACAC95951F}\Programmable

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{1E1B2879-88FF-11D3-8D96-D7ACAC95951F}\InprocServer32

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{1E1B2879-88FF-11D3-8D96-D7ACAC95951F}\TypeLib

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{1E1B2879-88FF-11D3-8D96-D7ACAC95951F}

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{1E1B286C-88FF-11D3-8D96-D7ACAC95951F}\1.0

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{1E1B286C-88FF-11D3-8D96-D7ACAC95951F}\1.0\FLAGS

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{1E1B286C-88FF-11D3-8D96-D7ACAC95951F}\1.0\0

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{1E1B286C-88FF-11D3-8D96-D7ACAC95951F}\1.0\0\win32

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{1E1B286C-88FF-11D3-8D96-D7ACAC95951F}\1.0\HELPDIR

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{1E1B2878-88FF-11D3-8D96-D7ACAC95951F}

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{1E1B2878-88FF-11D3-8D96-D7ACAC95951F}\ProxyStubClsid

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{1E1B2878-88FF-11D3-8D96-D7ACAC95951F}\ProxyStubClsid32

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{1E1B2878-88FF-11D3-8D96-D7ACAC95951F}\TypeLib

Step 6

Recherche et suppression de ce fichier

[ suite ]
Il se peut que certains fichiers de composants soient cachés. Assurez-vous que la case Rechercher dans les fichiers et les dossiers cachés est cochée dans les Options avancées afin que les fichiers et dossiers cachés soient inclus dans les résultats de la recherche.
  • %User Temp%\RarSFX0\void
  • %User Temp%\RarSFX0\bpk.bin
  • %User Temp%\RarSFX0\apps.dat
  • %User Temp%\RarSFX0\rinst.dat
  • %User Temp%\RarSFX0\titles.dat
  • %User Temp%\RarSFX0\bsdhooks.dll
  • %User Temp%\RarSFX0\web.dll
  • %User Temp%\RarSFX0\__original.exe
  • %User Temp%\RarSFX0\bpk.exe
  • %User Temp%\RarSFX0\rinst.exe
  • %User Temp%\INS86D5.tmp
  • %User Temp%\is-E2OLA.tmp\_shfoldr.dll
  • %System%\bpk.exe
  • %System%\rinst.exe
  • %System%\bsdhooks.dll
  • %System%\web.dll
  • %System%\bpk.bin
  • %System%\apps.dat
  • %System%\titles.dat
  • %System%\rinst.dat

Step 7

Effectuez un scan de l’ordinateur à l’aide de votre produit Trend Micro pour supprimer les fichiers spécifiés comme étant TROJ_PERFECT.A Si les fichiers détectés ont déjà été nettoyés, supprimés ou placés en quarantaine par votre produit Trend Micro, aucune autre procédure n"est nécessaire. Vous pouvez simplement choisir de supprimer les fichiers en quarantaine. Veuillez consulter cette page de base de connaissances pour plus d"informations.


Participez à notre enquête!