Radiate
Pierre Pinard^© (jj.mm.aaaa)


Généralités

• Nom
  Radiate
  
  
• Autres noms
  adimage.dll advert.dll advpack.dll amcis.dll amcis2.dll amcompat.tlb amstream.dll anadsc.ocx anadscb.ocx htmdeng.exe ipcclient.dll msipcsv.exe tfde.dll
  
  
• Description Résumée
  
  Provoque des affichages de bannières, de popup et de popunder. Reste actif après fermeture du navigateur ou du programme. S'auto installe en tant que service de Windows et Bho dans IE, de ce fait il se charge automatiquement à chaque lancement de votre navigateur et peut, en théorie, prendre le contrôle de tous les sites visités. Il est assez difficile à éradiquer et s'exécute de manière totalement furtive. Radiate est le nom du spyware de la société Radiate (anciennement Aureate Media) - plus de 650 logiciels freeware et shareware infestés. Il s'active au lancement du browser ou au lancement d'un programme qu'il a infesté. Ce composant a l'activité apparente "légale" de tout adware : il rapatrie des bannières publicitaires et les affiche dans les divers programmes et sites Internet qu'il infeste. Il gère vos clics sur ces bannières, le temps passé à avoir ces bannières sous les yeux etc. ... un adware quoi - en apparences. Si vous êtes connectés, ces informations sont immédiatement envoyées à Radiate. Malheureusement, elles le sont avec beaucoup d'autres : Radiate capture toutes vos habitudes de navigation (y compris off-line) et les expédie à chaque ouverture du navigateur.
  
  Myth des interviews à propos d'Aureate et de son espion
  
  Déclaration vie privée
  Extrait de leur déclaration : In the process of delivering this content, as well as performing online transactions, Radiate will sometimes query you for demographic data (gender, age, zip code, etc.). We will not collect any personally identifiable information about you (name, address, telephone number, email address) unless you provide it to us voluntarily. All of this information is aggregated for the purposes of reporting to advertisers and ad sales organizations the performance of their advertising campaigns.
  
  
  
• Variantes
  .
  
  

Ce qu'il fait

Publicité	Violation de la vie privée	Introduit une faille de sécurité	Introduit une instabilité du système
.	.	.	.

• Publicité :
  .
  
  
• Violation de la vie privée :
  
  Oui de manière très grave ! La dll "advert.dll" crée une fenêtre cachée (invisible) chaque fois que vous ouvrez votre navigateur Internet et crée 4 pages d'informations sur vous qui sont immédiatement envoyées aux serveurs de Radiate en utilisant le port 1749 sur votre système. Ces pages comportent :
  
  1. Votre nom, tel qu'il est enregistré dans la base de registre (et pas le nom utilisé pour installer l'un des programmes infesté par Radiate)
  2. Votre adresse IP
  3. Un "reverse DNS" de votre adresse IP (ce qui leur permet de savoir qui est votre FAI (ISP) et donc la région du pays où vous êtes)
  4. La liste de tous les logiciels installés
  5. L'espionnage de chacune des pages Internet que vous visitez afin de déterminer votre profil à partir de ce à quoi vous vous interressez:
     1. Les publictés sur lesquelles vous cliquez
     2. Tous les download que vous faites avec nom de fichier, taille du fichier, date, heure, type (image, programme exécutable, zip etc. ...)
     3. Les dates et heures précises de chacune de vos actions utilisant votre navigateur
     4. Le numéro de téléphone utilisé pour vous connecter
     5. Les mots de passe ne semblent pas, à première vue, envoyés
  6. "Show me the money! I want to be Mike!" - une annotation curieuse par les programmeurs de Radiate ?
  
  
  Le spyware de Radiate continue de fonctionner une fois son vecteur désinstallé - par exemple, vous avez installé Go!Zilla puis vous l'avez désinstallé - Rediate continue de fonctionner et de vous espionner.
  
  
  
• Introduit une faille de sécurité :
  .
  
  
• Introduit une instabilité du système :
  .
  
  

Editeur
Radiate

Autres produits du même éditeur
.

Méthode de distribution
Go!Zilla appartient à Radiate. Il y avait 250 programmes de type freeware ou shareware listés sur le site Radiate. Cette liste de leurs clients a disparu comme la quasi-totalité des listes de spywares et de programmes infestés de spywares à travers le Web Mondial. Ils se cachent de plus en plus. C'était à http://www.radiate.com/consumers/products.html.
Lors d'un procès intenté en 2000/2001, ce sont plus de 650 programmes qui sont déclarés véhicules (trojan - cheval de Troie) du spyware Radiate, mais la liste n'est pas communiquée.



Au moins les programmes suivants sont formellement identifiés embarquant le spyware Aureate/Radiate:

123Search 3d Anarchy 3D-FTP 3rd block Abe's FTP Client Abe's Image Viewer Abe's MP3 Finder Abe's Picture Finder Abe's SMB Client Access Diver III Acorn Email AcqURL ActionOutline Light 1.6 Active 'Net Add URL Add/Remove Plus! Address Rover 98 Admiral VirusScanner Advanced Call Center Advanced Maillist Verify AdWizard Alive and Kicking alphaScape QuickPaste ASP1-A3 Auction Explorer Aureate Group Mail Aureate SpamKiller AutoFTP PRO AutoWeb AxelCD Beatle Binary Boy BinaryVortex Blue Engine BookSmith : Original buddyPhone 2 Calypso E-mail CamGrab Capture Express 2000 Cascoly Screensaver CDDB-Reader CDMaster32 ChanStat Charity Banner Cheat Machine Check4New ChinMail Clabra clipboard viewer Classic Peg Solitaire ComTry Music Downloader Crystal FTP CSE HTML Validator Lite CuteFTP 3.0 CuteFTP 3.0 CuteFTP/Tripod CuteMX CutePage Danzig Pref Engine DateTime Delphi Component Test Delphi Tester Dialer 2000 DigiBand NewsWatch DigiCams - The WebCam Viewer Digital Postman DirectUpdate DL-Mail Pro 2000 DNScape Doorbell 1.18 Download Minder 1.5 Download Wonder DownLoader v.1.1 Dwyco Video Conferencing EasySeeker EmmaSoft ChatCat EmmaSoft dBrow EmmaSoft KeepLan EmmaSoft Soundz EnvoyMail EZ-Forms FREE File Mag-Net FileSplit Folder Guard Jr. FourTimes Free Picture Harvester Free Solitaire Free Spades Free Submitter Pro FreeImageEditor FreeIRC FreeNotePad FreeSite FreeWebBrowser FreeWebMail FreeZip! FTPEditor GetRight Go!Zilla Go!Zilla WebAttack GovernMail Grafula Gunther's PasswordSentry HangWeb hesci Private Label HTML Translator HTTP Proxy-Spy Huey v1.8 Color Picker Iban Technologies IP Tools 3.1 Idyle GimmIP Idyle GimmIP iFind Graphics imageN Infinite Patience InfoBlast InnovaClub InstallZIP Internet Tree Internetrix InterWebWord Companion JetCar JFK Research jIRC JOC Email Checker JOC Web Finder JOC Web Spider KVT Diplom LapLink FTP LineSoft Download LOL Chat LOL Chat Mail Them Meracl FontMap Meracl ImageMap Generator Midnight Oil Solitaire MirNik Internet Finder More Space 99 MouseAssist MP3 Album Finder MP3 Fiend MP3 Grouppie MP3 Mag-Net MP3 Renamer Mp3 Stream Recorder MP3INFO-Editor MultiSender Music Genie MX Inspector BIG AD My Genie Patriots My Genie SE My GetRight NeatFTP Net CB Net Scan 2000 Net Vampire Net-A-Car Feature Car Screensaver NetAnts NetBoard Netbus Pro 2.10 NetCaptor 5.0 Netman Downloader NetNak NetSuck 3.10.5 NetTime Thingy Network Assistant NeuroStock NewsBin NewsShark NewsWire NfoNak NotePads+ Notificator 1.0b Octopus Pattern Book People Seek 98 Personal Search Agent Photocopier PicPluck Pictures In News Ping Thingy PingMaster Planet.Billboard Planet.MP3Find PMS ProtectX 3 ProxyChecker QuadSucker/Web Quadzle Puzzles QuikLink Autobot QuikLink Explorer QuikLink Explorer Gold Edition QuoteWatch QWallet Real Estate Web Site Creator Recipe Review ReGet 1.6 Resume Detective RingSurf RoboCam 1.10 Rosemary's Weird Web World SaberQuest Page Burner SBJV SBWcc Scout's Game ScreenFIRE ScreenFIRE - FileKing ScreenFlavors Sea Battle Shizzam Simple Submit SimpleFind SimpleSubmit v1.0 SK-111 Smart 'n Sticky SmartBoard 200 FREE Edition SmartSum calculator SonicMail Sound Agent Space Central Screen Saver Splash! Siterave StartDrive Static FTP StockBrowser Subscriber SunEdit 2K SuperIDE Sweep SweepsWinner Text Transmogrifier The Mapper TheNet TI-FindMail TIFNY Total Finger Total Whois Tracking The Eye Trade Site Creator TWinExplorer Standard TypeWriter 1.0 UK Phone Codes Vagabond's Realm VeriMP3 Vertigo QSearch Virtual Access Visual Cyberadio Visual Surfer VOG Backgammon Main VOG Backgammon Table VOG Chess Main VOG Chess Table VOG Reversi Main VOG Reversi Table VOG Shell VOG Shell VOG Shell History W3Filer Web Coupon Web Page Authoring Software Web Registrant PRO Web Resume Web SurfACE WEB2SMS WebCamVCR WebCopier Web-N-Force WebSaver Website Manager WebStripper WebType WhoIs Thingy Win A Lotto WinEdit 2000 Word+ Wordwright WorldChat Client Worm www.devgames.com xBlock Your ESP Test Zion Zip Express 2000




Détection
Si vous rencontrez des erreurs dans Internet Explorer (lorsque vous l'utilisez en multisessions - ouverture de plusieurs IE simultanément) version :

• Microsoft Internet Explorer versions 5 , 5.01 , 5.5 , for Windows 95
  
• Microsoft Internet Explorer versions 5 , 5.01 , 5.5 , for Windows 98
  
• Microsoft Internet Explorer versions 5.01 , 5.5 , for Windows 98 Second Edition
  
• Microsoft Internet Explorer version 5.5 , for Windows Millennium Edition
  
• Microsoft Internet Explorer version 6 for Windows 2000
  
• Microsoft Internet Explorer version 6 for Windows 98
  
• Microsoft Internet Explorer version 6 for Windows 98 Second Edition
  
• Microsoft Internet Explorer version 6 for Windows Millennium Edition
  
• Microsoft Internet Explorer version 6 for Windows NT 4.0
  
• Microsoft Internet Explorer version 6 for Windows XP
  

le message d'erreur étant de la forme :

• IEXPLORE caused an invalid page fault in module KERNEL32.DLL at 025f:bff87ede
• IEXPLORE caused an invalid page fault in module <unknown> at 0000.78581f00
  

les chiffres et lettres à la fin du message étant l'adresse mémoire où est survenue l'erreur et pouvant changer chaque fois, allez sur le site de Microsoft à l'adresse : http://support.microsoft.com/default.aspx?scid=KB;EN-US;q259684


Informations techniques
La dll "amcis.dll" modifie les clés de registre:

1. HKEY_CURRENT_CONFIG
2. HKEY_DYN_DATA
3. HKEY_PERFORMANCE_DATA
4. HKEY_USERS
5. HKEY_LOCAL_MACHINE
6. HKEY_CURRENT_USER
7. HKEY_CLASSES_ROOT

crée des process lancés automatiquement chaque fois que le navigateur est ouvert, remplace la dll oleaut32.dll de Microsoft par la sienne et rend la main à l'original de Microsoft lorsque le navigateur est ferrmé.


Eradication

• Manuelle
  Vous devez connaître et maîtriser les actions manuelles suivantes
  • Tuer un processus actif
    
  • Retirer une entrée de la liste de démarrage
    
  • Détruire des fichiers
    
  • Détruire des répertoires
    
  • Détruire des clés de registre
    
  • Détruire une entrée dans une clé de registre
    
  • Désenregistrer des DLLs
    
    

Tuer les processus suivants
systemroot+\system32\\msipcsv.exe

Désenregistrer les dll suivantes
systemroot+\system32\advert.dll
systemroot+\system32\amcis.dll
systemroot+\system32\ipcclient.dll
systemroot+\system32\tfde.dll
systemroot+\system32\\adimage.dll
systemroot+\system32\\ipcclient.dll
systemroot+\system32\\tfde.dll

Détruire les clés de registre suivantes lorsqu'elles existent
HKEY_CLASSES_ROOT\clsid\{ebbfe27b-bdf0-11d2-bbe5-00609419f467}
HKEY_CLASSES_ROOT\clsid\{ebbfe287-bdf0-11d2-bbe5-00609419f467}
HKEY_CLASSES_ROOT\clsid\{ebbfe28a-bdf0-11d2-bbe5-00609419f467}
HKEY_CLASSES_ROOT\interface\{ebbfe27b-bdf0-11d2-bbe5-00609419f467}
HKEY_CLASSES_ROOT\interface\{ebbfe287-bdf0-11d2-bbe5-00609419f467}
HKEY_CLASSES_ROOT\software\aureate
HKEY_CLASSES_ROOT\software\classes\stub.netscapestop.1
HKEY_CLASSES_ROOT\stub.ciestub
HKEY_CLASSES_ROOT\stub.ciestub.1
HKEY_CLASSES_ROOT\stub.netscapestop
HKEY_CLASSES_ROOT\stub.netscapestop.1
HKEY_CLASSES_ROOT\typelib\{ebbfe26d-bdf0-11d2-bbe5-00609419f467}
HKEY_LOCAL_MACHINE\software\classes\stub.netscapestop.1
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\shareddlls\
c:\windows\system32\advert.dll
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\shareddlls\
c:\windows\system32\amcis.dll
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\shareddlls\
c:\windows\system32\amcis2.dll
HKEY_USERS\s-1-5-21-329068152-1677128483-854245398-500\software\aureate
HKEY_LOCAL_MACHINE\software\aureate
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\uninstall\
radiate advertising
HKEY_CURRENT_USER\software\aureate
HKEY_CLASSES_ROOT\clsid\{6d0bb051-a1a3-11d3-a67c-0050da2ce984}
HKEY_CLASSES_ROOT\interface\{141c673d-4515-4482-905d-a2caa68538a1}
HKEY_CLASSES_ROOT\interface\{6d0bb050-a1a3-11d3-a67c-0050da2ce984}
HKEY_CLASSES_ROOT\interface\{6d0bb053-a1a3-11d3-a67c-0050da2ce984}
HKEY_CLASSES_ROOT\interface\{8a2a68ae-9a25-444c-965b-b560105ed0a0}
HKEY_CLASSES_ROOT\interface\{e670155f-7d8c-4bba-8cfe-24e5b5a31760}
HKEY_CLASSES_ROOT\interface\{e976a28e-3b3d-4e18-a7d4-255a9f0e8ade}
HKEY_CLASSES_ROOT\typelib\{6d0bb056-a1a3-11d3-a67c-0050da2ce984}
HKEY_LOCAL_MACHINE\software\classes\anadscb.aadvb5
HKEY_USERS\s-1-5-21-796845957-842925246-1060284298-500\software\aureate
HKEY_USERS\.default\software\aureate

Détruire les fichiers suivants
systemroot+\system32\advert.dll
systemroot+\system32\amcis.dll
systemroot+\system32\ipcclient.dll
systemroot+\system32\tfde.dll
systemroot+\system32\anadscb.ocx
systemroot+\system32\\adimage.dll
systemroot+\system32\\anadscb.ocx
systemroot+\system32\\ipcclient.dll
systemroot+\system32\\msipcsv.exe
systemroot+\system32\\tfde.dll

Détruire les répertoires suivants
profilepath+\start menu\programs\radiate
profilepath+\local settings\application data\software\radiate

toujours exécuter l'intégralité de "La Manip" après cette désinfection.

• Automatique avec son propre uninstal
  .
  toujours exécuter l'intégralité de "La Manip" après cette désinfection.
  
  
• Automatique avec un outil
  PestPatrol
  
  toujours exécuter l'intégralité de "La Manip" après cette désinfection.
  
  
• Conséquences de l'éradication
  .
  
  

Suggestion de serveurs à ajouter à hosts
Hosts - Qu'est-ce que c'est?
.

Suggestion d'IPs de serveurs à bloquer
Par exemple en utilisant PeerGuardian.
.

Cookies à éradiquer utilisés par ce parasite
.

Liens, sources et ressources
Pour rédiger cette fiche, les sites suivants ont été consultés

PestPatrol

Radiate - Privacy Policy Ce qu'ils déclarent faire avec Radiate.


Cnet - Un papier sur Aureate

Complément du 01/12/02
Le site http://www.radiate.com/ semble ne plus exister tandis que Go!zilla existe toujours. Radiate est une société du congloméra CMGI @Ventures, une société de capital-venture affiliée à CMGI, Inc. Vous pourrez avoir plus de renseignements à


[MGI's corporate headquarters
100 Brickstone Square
Andover, MA 01810.


CMGI @Ventures à des bureaux là ainsi qu'à


CMGI @Ventures
3000 Alpine Road
Menlo Park, CA 94028


Voir également
http://www.cmgi.com
http://www.ventures.com


Porter plainte
Portez plainte iciO.C.L.C.T.I.C
MINISTERE DE L'INTERIEUR
Direction Centrale de la Police Judiciaire
Sous-Direction des Affaires Economiques et Financières
8, rue de Penthièvre
75008 PARIS
Tel : 01.49.27.49.27
Télécopie : 01.40.97.88.59
oclctic@interieur.gouv.fr

Retour d'information (FeedBack)
S'il y a la moindre chose nouvelle ou à ajouter ou à corriger sur cette page, merci d'utiliser le petit formulaire de feedback ci-dessous.

Rédigé en écoutant Ecoute