Name:Worm/IrcBot.26624
Entdeckt am:11/12/2007
Art:Worm
In freier Wildbahn:Ja
Gemeldete Infektionen:Niedrig
Verbreitungspotenzial:Niedrig
Schadenspotenzial:Mittel
Statische Datei:Ja
Dateigröße:26.624 Bytes
MD5 Prüfsumme:7abb7d1dea8635207603bac2acc10813
IVDF Version:7.00.01.68 - Dienstag, 11. Dezember 2007

 General Aliases:
   •  Mcafee: W32/IRCbot.gen.ad
   •  Sophos: W32/Autorun-AMP
   •  Panda: W32/IRCBot.CKA.worm
   •  Eset: Win32/IRCBot.ALM
   •  Bitdefender: Backdoor.Generic.185525


Betriebsysteme:
   • Windows 2000
   • Windows XP
   • Windows 2003


Auswirkungen:
   • Erstellt schädliche Dateien
   • Änderung an der Registry
   • Ermöglicht unbefugten Zugriff auf den Computer

 Dateien Eine Kopie seiner selbst wird hier erzeugt:
   • %SYSDIR%\svhost.exe



Die anfänglich ausgeführte Kopie der Malware wird gelöscht.

 Registry Der folgende Registryschlüssel wird hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

– [HKLM\SYSTEM\CurrentControlSet\Services\WindowsTelephony]
   • "Description"="Windows Telephony"
   • "DisplayName"="Windows Telephony"
   • "ErrorControl"=dword:0x00000000
   • "FailureActions"=hex:0A,00,00,00,00,00,00,00,00,00,00,00,01,00,00,00,2E,00,73,00,01,00,00,00,B8,0B,00,00
   • "ImagePath"=""%SYSDIR%\svhost.exe""
   • "ObjectName"="LocalSystem"
   • "Start"=dword:0x00000002
   • "Type"=dword:0x00000110



Folgende Registryschlüssel werden hinzugefügt:

– [HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\
   WindowsTelephony]
   • "@"="Service"

– [HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\
   WindowsTelephony]
   • "@"="Service"

 Infektion über das Netzwerk Exploit:
Folgende Sicherheitslücken werden ausgenutzt:
– MS04-007 (ASN.1 Vulnerability)
– MS06-040 (Vulnerability in Server Service)

 IRC Um Systeminformationen zu übermitteln und Fernsteuerung sicherzustellen wird eine Verbindung mit folgendem IRC Server hergestellt:

Server: sc.ar**********.org
Port: 902
Channel: #crk
Nickname: [00-USA-XP-%Nummer%]

 Datei Einzelheiten Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit einem Laufzeitpacker gepackt.

Die Beschreibung wurde erstellt von Petre Galan am Donnerstag, 4. März 2010
Die Beschreibung wurde geändert von Petre Galan am Donnerstag, 4. März 2010

zurück . . . .