Worm/Sdbot.80896 - Worm

Siehe auch

Kurzfassung

Vollständig

Statistik

Name:	Worm/Sdbot.80896
Entdeckt am:	26/08/2005
Art:	Worm
In freier Wildbahn:	Nein
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Mittel
Schadenspotenzial:	Mittel
Statische Datei:	Ja
Dateigröße:	80.896 Bytes
MD5 Prüfsumme:	8e3d9a00158895be246046568332045a
VDF Version:	6.31.1.158

General Verbreitungsmethode:
   • Lokales Netzwerk

Aliases:
   • Symantec: W32.Spybot.Worm
   • Kaspersky: Trojan.Win32.Crypt.d
   • TrendMicro: WORM_SDBOT.CBS
   • VirusBuster: Worm.SdBot.BEH
   • Eset: Win32/Rbot

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows 2000
   • Windows XP

Auswirkungen:
   • Setzt Sicherheitseinstellungen herunter
   • Änderung an der Registry
   • Macht sich Software Verwundbarkeit zu nutzen
   • Stiehlt Informationen
   • Ermöglicht unbefugten Zugriff auf den Computer

Registry Die folgenden Registryschlüssel werden hinzugefügt um die Prozesse nach einem Neustart des Systems erneut zu starten.

– HKLM\Software\Microsoft\Windows\CurrentVersion\Run
   • "li start up"="%ausgeführte Datei%"

– HKCU\Software\Microsoft\Windows\CurrentVersion\Run
   • "li start up"="%ausgeführte Datei%"

Die folgenden Registryschlüssel werden hinzugefügt um die Service nach einem Neustart des Systems erneut zu laden.

– HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
   • "li start up"="%ausgeführte Datei%"

– HKCU\Software\Microsoft\Windows\CurrentVersion\RunServices
   • "li start up"="%ausgeführte Datei%

Folgende Registryschlüssel werden hinzugefügt:

– HKLM\Software\Microsoft\OLE
   • "li start up"="%ausgeführte Datei%"

– HKLM\SYSTEM\CurrentControlSet\Control\Lsa
   • "li start up"="%ausgeführte Datei%"

– HKCU\Software\Microsoft\OLE
   • "li start up"="%ausgeführte Datei%"

– HKCU\SYSTEM\CurrentControlSet\Control\Lsa
   • "li start up"="%ausgeführte Datei%"

Folgender Registryschlüssel wird geändert:

– HKLM\Software\Microsoft\OLE
   Alter Wert:
   • "EnableDCOM"="%Einstellungen des Benutzers%"
   Neuer Wert:
   • "EnableDCOM"="Y"

Infektion über das Netzwerk Um die weitere Verbreitung sicherzustellen versucht sich die Malware mit anderen Computern zu verbinden. Die Einzelheiten hierzu sind im Folgenden beschrieben.

Eine Kopie seiner selbst wird in folgenden freigegebenen Netzressourcen erstellt:
   • "ipc$"
   • "print$"
   • "admin$"
   • "Admin$"

Um sich Zugriff auf entfernte Computer zu verschaffen werden folgende Anmeldeinformationen genutzt:

–Aufgezeichnete Benutzernamen und Passwörter.

– Folgende Liste von Benutzernamen:
   • Admin; Administrador; administrador; administrat; Administrateur;
      Administrator; Coordinatore; Guest; main; master; owner; root; server;
      student; supervisor; system; teacher; user; windows

– Folgende Liste von Passwörtern:
   • 7; 123; 777; 2600; abc; access; computer; Login; oem; oeminstall;
      OWNER; pass; password; pwd; qwerty; superuser; win2000; win2k; winnt;
      winxp; xxx

Exploit:
Folgende Sicherheitslücke wird ausgenutzt:
– MS04-011 (LSASS Vulnerability)

IP Adressen Erzeugung:
Es werden zufällige IP Adressen generiert wobei die ersten beiden Zahlen die der eigenen Addresse sind. Es wird dann versuche eine Verbindung mit diesen Adressen aufzubauen.

Ablauf der Infektion:
Auf dem übernommenen Computer wird ein FTP Skript erstellt. Dieses lädt die Malware auf den entfernten Computer.

Reduzierung der Geschwindigkeit:
– In Abhängigkeit von Ihrer Bandbreite ist es möglich, dass Sie einen Einbruch der Geschwindigkeit Ihres Netzwerks feststellen. Da die Netzwerkaktivität für diese Malware mittelmäßig ist, besteht auch die Möglichkeit, dass Sie dieses Symptom nicht bemerken, wenn Sie über eine Breitbandanschluß verfügen.
– Es ist möglich, dass der Computer an Geschwindigkeit ein büßt. Der Grund hierfür sind vielfachen Netzwer-Instanzen.

IRC Um Systeminformationen zu übermitteln und Fernsteuerung sicherzustellen wird eine Verbindung mit folgendem IRC Server hergestellt:

Server: 83.133.125.**********
Port: 24300
Channel: #fftp
Nickname: [XP]|%random characters%
Passwort: abcnet

– Dieser Schädling hat die Fähigkeit folgende Informationen zu sammeln und zu übermitteln:
    • Prozessorgeschwindigkeit
    • Aktueller Benutzer
    • Freier Festplattenplatz
    • Freier Hauptspeicher
    • Arbeitszeit der Malware
    • Informationen über das Netzwerk
    • Informationen über laufende Prozesse
    • Größe des Speichers
    • Systemverzeichnis
    • Benutzername

– Des Weiteren besitzt die Malware die Fähigkeit folgende Aktionen durchzuführen:
    • mit IRC Server verbinden
    • vom IRC Server abmelden
    • Datei herunterladen
    • Registry editieren
    • DCOM aktivieren
    • Datei ausführen
    • IRC Chatraum betreten
    • Prozess abbrechen
    • Öffnen einer remote shell
    • DDoS Attacke durchführen
    • Scannen des Netzwerks
    • System herunterfahren
    • Starte Verbreitunsroutine
    • Prozess beenden
    • Aktualisiert sich selbst

Hosts Die hosts Datei wird wie folgt geändert:

– In diesem Fall werden die bestehenden Einträge gelöscht.

– Zugriffe auf folgende Domains werden auf andere Ziele umgeleitet:
   • avp.com; ca.com; customer.symantec.com; dispatch.mcafee.com;
      download.mcafee.com; f-secure.com; kaspersky.com; kaspersky-labs.com;
      liveupdate.symantec.com; liveupdate.symantecliveupdate.com;
      mast.mcafee.com; mcafee.com; my-etrust.com; nai.com;
      networkassociates.com; rads.mcafee.com; secure.nai.com;
      securityresponse.symantec.com; sophos.com; symantec.com;
      trendmicro.com; update.symantec.com; updates.symantec.com;
      us.mcafee.com; viruslist.com; www.avp.com; www.ca.com;
      www.f-secure.com; www.grisoft.com; www.jayloden.com;
      www.kaspersky.com; www.mcafee.com; www.my-etrust.com; www.nai.com;
      www.networkassociates.com; www.sophos.com; www.symantec.com;
      www.trendmicro.com; www.viruslist.com

Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in MS Visual C++ geschrieben.

Kurzfassung hier.

Beschreibung erstellt von Irina Boldea am Fri, 26 Aug 2005 18:43 (GMT+1)
Beschreibung geändert von Irina Boldea am Tue, 30 Aug 2005 17:02 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück