Nume:Worm/Agobot.agw.1
Descoperit pe data de:08/03/2006
Tip:Vierme
ITW:Nu
Numar infectii raportate:Scazut
Potential de raspandire:Mediu
Potential de distrugere:Mediu
Fisier static:Da
Marime:85.291 Bytes
MD5:c57ee618f1c7445a66064d87f506662e

 General Metode de raspandire:
   • Reteaua locala


Alias:
   •  Kaspersky: Backdoor.Win32.Agobot.agw
   •  TrendMicro: WORM_AGOBOT.BBR


Sistem de operare:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003


Efecte secundare:
   • Modificari in registri
   • Profita de vulnerabilitatile softului
   • Sustrage informatii
   • Posibilitatea accesului neautorizat la computer

 Fisiere Se copiaza in urmatoarea locatie:
   • %SYSDIR%\mssvcc.exe



Sterge copia initiala a virusului.

 Registrii sistemului Urmatoarele chei sunt adaugate in registri pentru a rula procesul la repornirea sistemului:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "msconfig38"="mssvcc.exe"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
   • "msconfig38"="mssvcc.exe"



Urmatoarele chei din registri sunt modificate:

– [HKLM\SOFTWARE\Microsoft\Ole]
   Vechea valoare:
   • "EnableDCOM"="%setarile utilizatorului%"
   Noua valoare:
   • "EnableDCOM"="N"

– [HKLM\SYSTEM\CurrentControlSet\Control\Lsa]
   Vechea valoare:
   • "restrictanonymous"=dword:%setarile utilizatorului%
     "restrictanonymoussam"=dword:%setarile utilizatorului%
   Noua valoare:
   • "restrictanonymous"=dword:00000001
     "restrictanonymoussam"=dword:00000001

 Reţea Pentru a-si asigura raspandirea, programul malware incearca sa contacteze alte sisteme, asa cum este descris in continuare:

Creeaza copii malware in urmatoarele share-uri de retea:
   • IPC$
   • C$
   • ADMIN$


Foloseste urmatoarele date de logare, pentru a controla sistemul la distanta:

– Lista de utilizatori:
   • adm; admin; administrador; administrat; administrateur; administrator;
      admins; computer; database; db2; dba; default; guest; oracle; owner;
      root; staff; student; teacher; wwwadmin

– Lista de parole:
   • 007; 123; 1234; 12345; 123456; 1234567; 12345678; 123456789;
      1234567890; 2000; 2001; 2002; 2003; 2004; access; accounting;
      accounts; asd; backup; bill; bitch; blank; bob; brian; changeme;
      chris; cisco; compaq; control; data; databasepass; databasepassword;
      db1; db1234; db2; dbpass; dbpassword; default; dell; demo; domain;
      domainpass; domainpassword; eric; exchange; fred; fuck; george; god;
      guest; hell; hello; home; homeuser; ian; ibm; internet; intranet; jen;
      joe; john; kate; katie; lan; lee; linux; login; loginpass; luke; mail;
      main; mary; mike; neil; nokia; none; null; oem; oeminstall; oemuser;
      office; orainstall; outlook; pass; pass1234; passwd; password;
      password1; peter; pwd; qaz; qwe; qwerty; root; sam; server; sex;
      siemens; slut; sql; sqlpassoainstall; sue; susan; system; technical;
      test; unix; user; web; win2000; win2k; win98; windows; winnt; winpass;
      winxp; www; zxc



Exploit:
Foloseste urmatoarele vulnerabilitati:
– MS02-061 (Elevation of Privilege in SQL Server Web)
– MS03-026 (Buffer Overrun in RPC Interface)
– MS03-039 (Buffer Overrun in RPCSS Service)
– MS03-049 (Buffer Overrun in the Workstation Service)
– MS04-007 (ASN.1 Vulnerability)
– MS04-011 (LSASS Vulnerability)


Generarea adreselor IP:
Creeaza adrese IP aleatoare, pastrand doar primii doi octeti din propria adresa. Apoi incearca sa contacteze adresele create.


Procesul de infectare:
Creeaza un script TFTP sau FTP pe masina afectata, pentru a descarca malware la distanta, pe un alt sistem.


Activare de la distanta:
–Incearca sa activeze de la distanta malware-ul pe sistemul recent infectat. Pentru aceasta, apeleaza functia NetScheduleJobAdd.

 IRC Pentru a trimite informatii si pentru a fi controlat se conecteaza la serverele IRC:

Server: **********.slateit1703.info
Port: 8080
Canal: #final,#finaldownload
Nick: USA|%sir de 6 caractere aleatoare%
Parola: he.he

Server: **********.3071tietals.info
Port: 8080
Canal: #final,#finaldownload
Nick: USA|%sir de 6 caractere aleatoare%
Parola: he.he



– Acest malware poate obtine si trimite infomatii cum ar fi:
    • Viteza procesorului
    • Utilizatorul curent
    • Informatii despre drivere
    • Spatiu liber pe disc
    • Memorie nealocata
    • Timpul de cand malware-ul a fost lansat in executie
    • Informatii despre retea
    • Cantitatea de memorie
    • Informatii despre sistemul de operare


– In plus, poate efectua urmatoarele operatii:
    • conectare server IRC
    • Lanseaza atacuri DDoS ICMP
    • Lanseaza atacuri DDoS SYN
    • Lanseaza atacuri DDoS UDP
    • dezactivare DCOM
    • dezactivarea partajarii de resurse in retea
    • deconectare server IRC
    • descarcare fisier
    • activare DCOM
    • activarea partajarii de resurse in retea
    • executarea unui fisier
    • intrare pe canal IRC
    • terminare proces
    • parasire canal IRC
    • deschidere consola
    • Scaneaza reteaua
    • repornirea sistemului
    • Porneste rutina de raspandire
    • terminare proces malware
    • Se actualizeaza singur
    • Face upload la un fisier

 Backdoor Deschide portul

– mssvcc.exe pe portul UDP 69 pentru a oferi un server TFTP.

 Detaliile fisierului Limbaj de programare:
 Limbaj de programare folosit: C (compilat cu Microsoft Visual C++).


Compresia fisierului:
Pentru a ingreuna detectia si a reduce marimea fisierului, este folosit un program de compresie runtime.

Die Beschreibung wurde erstellt von Iulia Diaconescu am Mittwoch, 8. März 2006
Die Beschreibung wurde geändert von Iulia Diaconescu am Mittwoch, 22. März 2006

zurück . . . .