Worm/SdBot.37376 - Worm

Siehe auch

Kurzfassung

Vollständig

Statistik

Name:	Worm/SDBot.37376
Entdeckt am:	19/07/2005
Art:	Worm
In freier Wildbahn:	Ja
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Mittel
Schadenspotenzial:	Niedrig bis mittel
Statische Datei:	Ja
Dateigröße:	38.864 Bytes
MD5 Prüfsumme:	2d7c1c8f9d006a5a049fa955f398af60
VDF Version:	6.31.1.166

General Verbreitungsmethode:
   • Lokales Netzwerk

Alias:
   • Kaspersky: Backdoor.Win32.SdBot.gen

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Erstellt schädliche Dateien
   • Änderung an der Registry
   • Ermöglicht unbefugten Zugriff auf den Computer

Dateien Eine Kopie seiner selbst wird hier erzeugt:
• %SYSDIR%\system32.exe

Registry Der folgende Registryschlüssel wird hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
• "Windows System32 Kernel"="system32.exe"

Infektion über das Netzwerk Um die weitere Verbreitung sicherzustellen versucht sich die Malware mit anderen Computern zu verbinden. Die Einzelheiten hierzu sind im Folgenden beschrieben.

Eine Kopie seiner selbst wird in folgenden freigegebenen Netzressourcen erstellt:
   • \d$\system32.exe
   • \print$\system32.exe
   • \c$\system32.exe
   • \Admin$\system32.exe
   • \ipc$

IRC Um Systeminformationen zu übermitteln und Fernsteuerung sicherzustellen wird eine Verbindung mit folgendem IRC Server hergestellt:

Server: 66.235.**********
Port: 8000
Channel: #rizz#
Nickname: [GAH]-%sechsstellige zufällige Buchstabenkombination%
Passwort: stfupofskthx

Diverses Mutex:
Es wird folgender Mutex erzeugt:
• jew

Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in MS Visual C++ geschrieben.

Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit folgendem Laufzeitpacker gepackt:
• PECompact2/Neolite2

Kurzfassung hier.

Beschreibung erstellt von Catalin Jora am Wed, 03 Aug 2005 12:16 (GMT+1)
Beschreibung geändert von Catalin Jora am Wed, 24 Aug 2005 09:03 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück