Name:Worm/IrcBot.50689
Entdeckt am:09/12/2008
Art:Worm
In freier Wildbahn:Ja
Gemeldete Infektionen:Niedrig bis mittel
Verbreitungspotenzial:Mittel
Schadenspotenzial:Mittel
Statische Datei:Ja
Dateigröße:753.664 Bytes
MD5 Prüfsumme:e5a140ae274a999bdf359ab2083912de
IVDF Version:7.01.00.208 - Dienstag, 9. Dezember 2008

 General Verbreitungsmethoden:
   • Autorun Dateien
   • Messenger


Aliases:
   •  Mcafee: W32/Sdbot.worm virus
   •  Bitdefender: Backdoor.IRCBot.ACZV
   •  Eset: Win32/AutoRun.IRCBot.GF


Betriebsysteme:
   • Windows 2000
   • Windows XP
   • Windows 2003


Auswirkungen:
   • Ermöglicht unbefugten Zugriff auf den Computer
   • Erstellt schädliche Dateien
   • Änderung an der Registry

 Dateien Kopien seiner selbst werden hier erzeugt:
   • %Laufwerk%\RECYCLER\runme.exe
   • %WINDIR%\clsidsrv.exe



Es wird folgende Datei erstellt:

– %Laufwerk%\autorun.inf Diese Datei ist eine nicht virulente Textdatei mit folgendem Inhalt:
   • %Programmcode, der Malware startet%




Es wird versucht folgende Datei auszuführen:

– Dateiname:
   • "%WINDIR%\clsidsrv.exe"

 Registry Der folgende Registryschlüssel wird hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "Clsid Service"="clsidsrv.exe"

–  [HKLM\SOFTWARE\Microsoft\PCHealth\ErrorReporting\DW]
   • DWFileTreeRoot

 Messenger Es verbreitet sich über Messenger. Die Charakteristiken sind folgende:

– Windows Live Messenger

Die URL verweißt auf eine Kopie der beschriebenen Malware. Läd der Benutzer die Datei auf seinen Computer und startet diese, so wiederholt sich der Infektionsprozess.

 IRC Um Systeminformationen zu übermitteln und Fernsteuerung sicherzustellen wird eine Verbindung mit folgendem IRC Server hergestellt:

Server: 203.200.**********.109
Port: 6667
Channel: #bot
Nickname: [00|USA|%Nummer%]

 Datei Einzelheiten Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit folgendem Laufzeitpacker gepackt:
   • Themida

Die Beschreibung wurde erstellt von Petre Galan am Mittwoch, 11. August 2010
Die Beschreibung wurde geändert von Petre Galan am Mittwoch, 11. August 2010

zurück . . . .