Du brauchst Hilfe? Frage die Community oder wende dich an einen Experten.
Zu Avira Answers
Name:BDS/Codbot.AE.1
Entdeckt am:13/12/2012
Art:Backdoor Server
In freier Wildbahn:Ja
Gemeldete Infektionen:Niedrig
Verbreitungspotenzial:Mittel
Schadenspotenzial:Mittel
Statische Datei:Ja
Dateigre:49.152 Bytes
MD5 Prfsumme:15870257aa24dac575191161c4d52781
VDF Version:7.11.53.216

 Allgemein Verbreitungsmethode:
   • Lokales Netzwerk


Aliases:
   •  Symantec: W32.Toxbot
   •  Mcafee: W32/Sdbot.worm.gen.w
   •  Kaspersky: Backdoor.Win32.Codbot.ae
   •  TrendMicro: WORM_SDBOT.BJA
   •  VirusBuster: Worm.Codbot.S


Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003


Auswirkungen:
   • Erstellt schdliche Dateien
   • Zeichnet Tastatureingaben auf
   • nderung an der Registry
   • Macht sich Software Verwundbarkeit zu nutzen
   • Ermglicht unbefugten Zugriff auf den Computer

 Dateien Eine Kopie seiner selbst wird hier erzeugt:
   • %SYSDIR%\netddeclnt.exe



Die anfnglich ausgefhrte Kopie der Malware wird gelscht.



Es wird folgende Datei erstellt:

– Eine Datei fr temporren Gebrauch. Diese wird mglicherweise wieder gelscht.
   • %TEMPDIR%\del.bat

 Registry Die folgenden Registryschlssel werden hinzugefgt um die Service nach einem Neustart des Systems erneut zu laden.

HKLM\SYSTEM\CurrentControlSet\Services\NetDDEclnt]
   • "Type"=dword:00000110
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000000
   • "ImagePath"="%Verzeichnis in dem die Malware ausgefhrt wurde%\\%ausgefhrte Datei%"
   • "DisplayName"="Network DDE Client"
   • "ObjectName"="LocalSystem"
   • "FailureActions"=hex:05,00,00,00,00,00,00,00,00,00,00,00,01,00,00,00,42,00,42,\
   • 00,01,00,00,00,01,00,00,00
   • "Description"="Provides network transport and security for Dynamic Data Exchange (DDE) for programs running on the same computer or on different computers."

HKLM\SYSTEM\CurrentControlSet\Services\NetDDEclnt\Enum]
   • "0"="Root\\LEGACY_NETDDECLNT\\0000"
   • "Count"=dword:00000001
   • "NextInstance"=dword:00000001
   • "INITSTARTFAILED"=dword:00000001

[HKLM\SYSTEM\CurrentControlSet\Services\NetDDEclnt\Security]
   • "Security"=hex:01,00,14,80,90,00,00,00,9c,00,00,00,14,00,00,00,30,00,00,00,02,\
      00,1c,00,01,00,00,00,02,80,14,00,ff,01,0f,00,01,01,00,00,00,00,00,01,00,00,\
      00,00,02,00,60,00,04,00,00,00,00,00,14,00,fd,01,02,00,01,01,00,00,00,00,00,\
      05,12,00,00,00,00,00,18,00,ff,01,0f,00,01,02,00,00,00,00,00,05,20,00,00,00,\
      20,02,00,00,00,00,14,00,8d,01,02,00,01,01,00,00,00,00,00,05,0b,00,00,00,00,\
      00,18,00,fd,01,02,00,01,02,00,00,00,00,00,05,20,00,00,00,23,02,00,00,01,01,\
      00,00,00,00,00,05,12,00,00,00,01,01,00,00,00,00,00,05,12,00,00,00



Folgende Registryschlssel werden hinzugefgt:

[HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\NetDDEclnt]
   • @="Service"

[HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\NetDDEclnt]
   • @="Service

[HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_NETDDECLNT\0000]
   • "Service"="NetDDEclnt"
   • "Legacy"=dword:00000001
   • "ConfigFlags"=dword:00000000
   • "Class"="LegacyDriver"
   • "ClassGUID"="{8ECC055D-047F-11D1-A537-0000F8753ED1}"
   • "DeviceDesc"="Network DDE Client"

[HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_NETDDECLNT\0000\
   Control]
   • "*NewlyCreated*"=dword:00000000
   • "ActiveService"="NetDDEclnt"

 Infektion ber das Netzwerk Um die weitere Verbreitung sicherzustellen versucht sich die Malware mit anderen Computern zu verbinden. Die Einzelheiten hierzu sind im Folgenden beschrieben.


Exploit:
Folgende Sicherheitslcken werden ausgenutzt:
– MS02-061 (Elevation of Privilege in SQL Server Web)
– MS03-007 (Unchecked Buffer in Windows Component)
– MS03-026 (Buffer Overrun in RPC Interface)
– MS04-011 (LSASS Vulnerability)


Ablauf der Infektion:
Auf dem bernommenen Computer wird ein FTP Skript erstellt. Dieses ldt die Malware auf den entfernten Computer.


Reduzierung der Geschwindigkeit:
Da vielfache Netzwer-Instanzen erzeugt werden ein infizierter Computer langsam und kaum noch steuerbar.

 IRC Um Systeminformationen zu bermitteln und Fernsteuerung sicherzustellen wird eine Verbindung mit folgendem IRC Server hergestellt:

Server: %unbekannt%
Channel: #exploit

Server: %unbekannt%
Channel: #raw



 Dieser Schdling hat die Fhigkeit folgende Informationen zu sammeln und zu bermitteln:
    • Prozessorgeschwindigkeit
    • Freier Festplattenplatz
    • Freier Hauptspeicher
    • Informationen ber das Netzwerk
    • Plattform ID
    • Informationen ber laufende Prozesse
    • Systemverzeichnis
    • Windowsverzeichnis

 Diebstahl Es wird versucht folgende Information zu klauen:

Nachdem Tastaturanschlge welche mit einer der folgenden Zeichenketten bereinstimmen gedrckt wurden wird eine Protokollfunktion gestartet:
   • bank
   • login
   • paypal
   • e-bay
   • ebay

 Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in MS Visual C++ geschrieben.


Laufzeitpacker:
Um eine Erkennung zu erschweren und die Gre der Datei zu reduzieren wurde sie mit folgendem Laufzeitpacker gepackt:
   • PE-Crypt.Antideb

Die Beschreibung wurde erstellt von Catalin Jora am Mittwoch, 3. August 2005
Die Beschreibung wurde geändert von Catalin Jora am Dienstag, 23. August 2005

zurück . . . .