Infection par le Trojan nail

Nicolas Coolman · le 23 février 2007

Infection par le Trojan nail.

Ce trojan se retrouve sous les nom "Abetter Internet AdWare" et sa variante "ABetterInternet DrPMon" ou "Trojan.Win32.Stervis.b". Il est classé dans la catégorie des méchants et doit être immédiatement supprimé de votre station. Pensez ensuite à faire les mises à jour pour Microsoft Internet Explorer.

Les sources d'infection du trojan Nail

Voici une liste non-exhaustive de logiciels succeptibles d'introduire ce trojan :

Spyspotter,
mypctuneup,
Ad-Eliminator

Les effets du trojan Nail

Les effets de ce cheval de Troie sont multiples, il s'agit principalement de :

une prise en main du navigateur Internet Exploreur,
une diminution de la sécurité,
une installation d'applications,
une polution de la Base de Registres,
un contrôle du processus WinLogon lors du démarrage du système. Ce qui permet la régéneration éventuelle du trojan en cas d'effacement par l'utilisateur.

Les Symptômes visibles du trojan Nail

Les symptômes de ce cheval de Troie que perçoivent les utilisateurs infectés sont multiples, il s'agit principalement de :

un message au démarrage du système "Windows ne trouve pas C:\WINDOWS\nail.exe, verifiez que vous avez entré le non correctement et essayez a nouveau...",
une diminution des performances de la station par réduction de sa mémoire virtuelle disponible,
une instabilité du système,
une publicité intrusive.
Certains anti-malwares résidents comme "Zone Alarm" emettent un message d'infection périodique pour une demande de connexion au site "www.abetterinternet.com".
une publicité intrusive avec message d'entête "Aurora - Part of the ABI Network". Surtout NE PAS VALIDER la demande de scan proposée par ce site qui conduit à l'installation d'autres malwares.
une publicité intrusive avec message d'entête "Aurora - Part of the ABI Network". Surtout NE PAS VALIDER la demande de scan proposée par ce site qui conduit à l'installation d'autres malwares.

La détection Hijackthis du trojan Nail

Hijackthis détecte ce cheval de Troie.

Présence du fichier "nail.exe" suivie d'une ligne comportant une ressource dynamique (Bolger.dll, DrPMon.dll).
Présence d'un fichier exécutable "non-système" suivi de la lettre miniscule "r".
Présence de fichiers générés "Aurora.exe", "svcproc.exe", "uacupg.exe", "thnall1ac.html".

Voici quelques exemples rencontrés dans les rapports Hijackthis :[/color]

*** Rapport 1 ***
F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\Nail.exe

O2 - BHO: BolgerObj Class - {302A3240-4805-4a34-97D7-1645A0B08410} - C:\WINDOWS\Bolger.dll

*** Rapport 2 ***

O4 - HKLM\..\Run: [wydcucv] C:\WINDOWS\system32\mtavjho.exe r

*** Rapport 3 ***

O4 - HKLM\..\Run: [yryrpcy] C:\WINDOWS\system32\avhbel.exe r

Procédure d'éradication manuelle du trojan Nail

Suivre la procédure donnée par "Jack_Burton"

L'Utilitaire "NailFix"

Cet utilitaire très simple permet de traquer le trojan Nail.

Télécharger l'utilitaire NailFix.
Un rapport d'analyse "dossier NailFix" est disponible dans le dossier "C:\Documents and Settings\All Users\Bureau"

Autres utilitaires

D'autres utilitaires permettent la traque et l'éradication du trojan Nail comme par exemple :

ABIremover,
Tune Up utilities (Analyseur en ligne),
RegRun Security Suite

La prévention

Penser à faire un nettoyage complet périodique des dossiers temporaires et notamment ceux concernant la navigation internet.
Mettre systèmatiquement à jour les signatures antivirales. Installer de préférence un antivirus avec update automatique.
Faire régulièrement les mises à jour du système Windows, et notamment celles qui portent sur le navigateur "Microsoft Internet Explorer" mais aussi sur les logiciels de messagerie "outlook" et "outlook Express".
Mettre en place un gardien de Base de Registres en mode résidant comme SpyBot. Cette précaution permettra de vous prévenir en cas d'intrusion dans la BDR.
Ne pas accepter de scan antimalware lorsqu'un message d'alerte vous indique que vous êtes infecté.
Consulter régulièrement les processus qui tournent dans votre "Gestionnaire des tâches Windows".