Worm/VBbot.L - Worm

Siehe auch

Kurzfassung

Vollständig

Statistik

Name:	Worm/VBbot.L
Entdeckt am:	05/09/2005
Art:	Worm
In freier Wildbahn:	Nein
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig bis mittel
Schadenspotenzial:	Niedrig bis mittel
Statische Datei:	Ja
Dateigröße:	61.440 Bytes
MD5 Prüfsumme:	0121a7a330f446e43a84df481e3503c9

General Verbreitungsmethode:
   • Messenger

Aliases:
   • Kaspersky: Backdoor.Win32.VBbot.l
   • TrendMicro: BKDR_VBBOT.F

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Blockiert Zugriff auf Webseiten von Sicherheitsfirmen
   • Terminierung von Sicherheitsprogrammen
   • Lädt schädliche Dateien herunter
   • Setzt Sicherheitseinstellungen herunter
   • Änderung an der Registry
   • Ermöglicht unbefugten Zugriff auf den Computer

Nach Aktivierung wird folgende Information angezeigt:

Dateien Eine Kopie seiner selbst wird hier erzeugt:
• %SYSDIR%\%zufällige Buchstabenkombination%\svshost.exe

Die anfänglich ausgeführte Kopie der Malware wird gelöscht.

Es wird folgende Datei erstellt:

– %TEMPDIR%\temp.bat Des weiteren wird sie ausgeführt nachdem sie vollständig erstellt wurde. Diese Batchdatei wird genutzt um eine Datei zu löschen.

Registry Die folgenden Registryschlüssel werden hinzugefügt um die Prozesse nach einem Neustart des Systems erneut zu starten.

– HKLM\software\microsoft\windows\currentversion\run
   • "svshost"="%SYSDIR%\%zufällige Buchstabenkombination%\svshost.exe"

– HKCU\software\microsoft\windows\currentversion\run
   • "svshost"="%SYSDIR%\%zufällige Buchstabenkombination%\svshost.exe"

Folgender Registryschlüssel wird geändert:

– HKLM\system\currentcontrolset\services\sharedaccess
   Alter Wert:
   • "Start"=dword:%Einstellungen des Benutzers%
   Neuer Wert:
   • "Start"=dword:00000004

Messenger Es verbreitet sich über Messenger. Die Charakteristiken sind folgende:

– AIM Messenger
– MSN Messenger

An:
Alle Einträge aus der Kontaktliste.

Nachricht
Die verschickte Nachricht sieht wie eine der folgenden aus:

   • Hej, download this if you want free Emotions and more Extras for your messenger : %link%

   • rofl you gotta see this %link%

   • Hey I found new Winks and Emoticons for your messenger and alot more Check them out here : %link%

   • Messeger PLUS just have been released Check it out it got alot of extra features that makes your Messenger alot better. Download it here : %link%

   • are bored of your emoticons and winks ? download this tool : %link%

   • Hej, you already got the new Messenger ? :D %link%

   • Messenger Plus 6.0 Beta released....get it here :) %link%

   • Hej, wanna update your Messenger :D ? %link%

   • lmao, this is awesome! %link%

   • lol I just updated my Messenger and I call tell you it ROCKS!! %link%

   • Check this out bro, its awsome :D !! %link%

   • lol, you should check out the new Messenger Plus...it rocks! :o %link%

   • LOL this is one of the funniest things i've ever seen! %link%

   • lmao this is so funny %link%

   • you 've got to see this! %link%

%link%
Während der Platzhalter folgendem entspricht:
   • www.asianvideo.be/download.php?**********&do=download

IRC Um Systeminformationen zu übermitteln und Fernsteuerung sicherzustellen wird eine Verbindung mit folgendem IRC Server hergestellt:

Server: 67.18.50.**********
Port: 37737
Channel: #.antixnew
Nickname: [XP|5|%zufällige Buchstabenkombination%]
Passwort: w000000t

– Dieser Schädling hat die Fähigkeit folgende Information zu sammeln und zu übermitteln:
    • Größe des Speichers

– Des Weiteren besitzt die Malware die Fähigkeit folgende Aktionen durchzuführen:
    • DDoS ICMP Angriff starten
    • DDoS SYN Angriff starten
    • DDoS TCP Angriff starten
    • DDoS UDP Angriff starten
    • Datei herunterladen
    • Datei ausführen
    • Starte Verbreitunsroutine
    • Malware beenden
    • Aktualisiert sich selbst
    • Besuch einer Webseite

Hosts Die hosts Datei wird wie folgt geändert:

– In diesem Fall bleiben bestehende Einträge erhalten.

– Zugriffe auf folgende Domains wird erfolgreich unterbunden:
   • avp.com; www.avp.com; ca.com; dispatch.mcafee.com;
      download.mcafee.com; f-secure.com; fastclick.net; ftp.f-secure.com;
      ftp.sophos.com; liveupdate.symantec.com; customer.symantec.com;
      rads.mcafee.com; mast.mcafee.com; mcafee.com; my-etrust.com; nai.com;
      networkassociates.com; secure.nai.com; securityresponse.symantec.com;
      service1.symantec.com; sophos.com; support.microsoft.com;
      symantec.com; update.symantec.com; updates.symantec.com;
      us.mcafee.com; vil.nai.com; viruslist.com; www.viruslist.com;
      www.awaps.net; www.ca.com; www.f-secure.com; www.fastclick.net;
      www.mcafee.com; www.microsoft.com; www.my-etrust.com; www.nai.com;
      www.networkassociates.com; www.sophos.com; www.symantec.com;
      www3.ca.com; www.grisoft.com; grisoft.com; housecall.trendmicro.com;
      trendmicro.com; www.trendmicro.com; www.pandasoftware.com;
      pandasoftware.com; kaspersky.com; www.kaspersky.com; www.zonelabs.com;
      zonelabs.com; antivir.com; antivir.de; www.spywareinfo.com;
      spywareinfo.com; www.merijn.org; merijn.org

Die modifizierte Host Datei sieht wie folgt aus:

Prozess Beendigung Liste der Prozesse die beendet werden:
   • msconfig.exe; kav.exe; kavsvc.exe; mcvsshld.exe; mcagent.exe;
      mcvsrte.exe; mcshield.exe; mcvsftsn.exe; mcdash.exe; mcvsescn.exe;
      mcinfo.exe; mpfagent.exe; mpftray.exe; mpfservice.exe; mskagent.exe;
      mcmnhdlr.exe; sndsrvc.exe; usrprmpt.exe; ccapp.exe; ccevtmgr.exe;
      spbbcsvc.exe; ccsetmgr.exe; symlcsvc.exe; npfmntor.exe; navapsvc.exe;
      issvc.exe; ccproxy.exe; navapw32.exe; navw32.exe; smc.exe;
      outpost.exe; zlclient.exe; vsmon.exe; isafe.exe; pandaavengine.exe;
      msblast.exe; bbeagle.exe; d3dupdate.exe; sysmonxp.exe; i11r54n4.exe;
      irun4.exe; mscvb32.exe; sysinfo.exe; mwincfg32.exe; wincfg32.exe;
      winsys.exe; zapro.exe; winupd.exe; enterprise.exe; regedit.exe;
      hijackthis.exe; gcasdtserv.exe; gcasserv.exe; pcctlcom.exe;
      tmntsrv.exe; tmproxy.exe; pccguide.exe; tmpfw.exe; pcclient.exe;
      AVGNT.EXE; AVWIN.EXE; taskmgr.exe; AVWUPSRV.EXE; ethereal.exe;
      mcupdmgr.exe; teekids.exe; penis32.exe

Prozesse mit einem der folgenden Fensternamen werden beendet:
   • ISSVC; services; GuardDogEXE; microsoft antispyware*; hijackthis*;
      wscsvc; kavsvc; McShield; MCVSRte; MpfService; navapsvc; Symantec Core
      LC; ccEvtMgr; SNDSrvc; ccProxy; ccPwdSvc; ccSetMgr; SPBBCSvc; SAVScan;
      SBService; SmcService; OutpostFirewall; vsmon; CAISafe; PcCtlCom;
      TmPfw; tmproxy; Tmntsrv

Diverses Mutex:
Es wird folgender Mutex erzeugt:
• AntiX

Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in Visual Basic geschrieben.

Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit einem Laufzeitpacker gepackt.

Kurzfassung hier.

Beschreibung erstellt von Sergiu Oprea am Mon, 05 Sep 2005 13:01 (GMT+1)
Beschreibung geändert von Sergiu Oprea am Wed, 07 Sep 2005 15:58 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück