BDS/Prorat.M - Backdoor Server

Siehe auch

Kurzfassung

Vollständig

Statistik

Name:	BDS/Prorat.M
Entdeckt am:	19/09/2005
Art:	Backdoor Server
In freier Wildbahn:	Nein
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig
Schadenspotenzial:	Mittel
Statische Datei:	Ja
Dateigröße:	546.304 Bytes
MD5 Prüfsumme:	907993D4ED88AB7913029C2EB45D19CA
VDF Version:	6.30.0.213

General Verbreitungsmethode:
   • Keine eigene Verbreitungsroutine

Aliases:
   • Symantec: Backdoor.Prorat
   • Mcafee: BackDoor-AVW
   • Kaspersky: Backdoor.Win32.Prorat.m
   • TrendMicro: BKDR_PRORAT.AF
   • Bitdefender: Trojan.Dropper.Agent.CO

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Terminierung von Sicherheitsprogrammen
   • Erstellt schädliche Dateien
   • Verfügt über eigene Email Engine
   • Setzt Sicherheitseinstellungen herunter
   • Zeichnet Tastatureingaben auf
   • Änderung an der Registry
   • Stiehlt Informationen
   • Ermöglicht unbefugten Zugriff auf den Computer

Nach Aktivierung wird folgende Information angezeigt:

Dateien Kopien seiner selbst werden hier erzeugt:
   • %SYSDIR%\fservice.exe
   • %SYSDIR%\sservice.exe
   • %WINDIR%\services.exe

Es werden folgende Dateien erstellt:

– %SYSDIR%\winkey.dll Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist.
– %SYSDIR%\reginv.dll Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist.
– %WINDIR%\ktd32.atm Diese Datei enthält gesammelte Tastatureingaben.

Registry Die folgenden Registryschlüssel werden in einer Endlosschleife fortlaufen hinzugefügt um die Prozesse nach einem Neustart des Systems erneut zu starten.

– [HKLM\software\microsoft\windows\currentversion\policies\explorer\
   Run]
   • "DirectX For Microsoft® Windows"="%SYSDIR%\fservice.exe"

– [HKLM\software\microsoft\\Windows NT\CurrentVersion\Winlogon]
   • "Shell"="Explorer.exe %SYSDIR%\fservice.exe"

Folgende Registryschlüssel werden hinzugefügt:

– [HKCU\software\microsoft\Windows NT Script Host\Microsoft DxDiag\
   WinSettings]
   • "Bulas"="1"
   • "FW_KILL"="1"
   • "XP_FW_Disable"="1"
   • "XP_SYS_Recovery"="1"
   • "ICQ_UIN"="`c`ex/on,hq/bnl"
   • "ICQ_UIN2"=""
   • "Kurban_Ismi"="inru88"
   • "Mail"="cmnne^gmnv3110Ax`inn/bnl"
   • "Online_List"=""
   • "Port"="4001"
   • "Sifre"="cmnne896"
   • "Hata"="Invalid memory address"
   • "KSil"="0"
   • "LanNotifie"=""
   • "Tport"="0"
   • "ServerVersionInt"="19"

– [HKLM\software\microsoft\\Active Setup\Installed Components\
   {5Y99AE78-58TT-11dW-BE53-Y67078979Y}]
   • "StubPath"="%SYSDIR%\sservice.exe"

Folgende Registryschlüssel werden geändert:

– [HKLM\software\microsoft\\Windows NT\CurrentVersion\Winlogon]
   Alter Wert:
   • "Shell"="Explorer.exe"
   Neuer Wert:
   • "Shell"="Explorer.exe %SYSDIR%\fservice.exe"

– [HKLM\SYSTEM\ControlSet001\Services\SharedAccess]
   Alter Wert:
   • "Start"=%Einstellungen des Benutzers%
   Neuer Wert:
   • "Start"=dword:00000004

– [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess]
   Alter Wert:
   • "Start"=%Einstellungen des Benutzers%
   Neuer Wert:
   • "Start"=dword:00000004

– [HKLM\SYSTEM\ControlSet001\Services\srservice]
   Alter Wert:
   • "Start"=%Einstellungen des Benutzers%
   Neuer Wert:
   • "Start"=dword:00000004

– [HKLM\SYSTEM\CurrentControlSet\Services\srservice]
   Alter Wert:
   • "Start"=%Einstellungen des Benutzers%
   Neuer Wert:
   • "Start"=dword:00000004

Email Es besitzt keine eigene Verbreitungsroutine verschickt jedoch eine Email. Der Empfänger ist möglicherweise der Author. Die Einzelheiten sind im folgenden aufgeführt:

Von:
Der Absender der Email ist folgender:
   • prorat@yahoo.com

An:
Der Empfänger der Email ist folgender:
   • blood_flow2001yahoo.com

Betreff:
Folgende:
   • ProRat [host99 Online]

Body:
Der Body der Email ist folgender:

   • [ProRat V1.9-Test-Version-8]
     Victim is Online.
     IP Address(es) :
      %aktuelle IP Adresse%

     Port :5110
     Password :blood987
     Victim name :host99
     User name :%aktueller Benutzernamen%
     Computer Name :%Name des Computers%
     Date :%aktuelles Datum%
     Time :%aktuelle Stunde%

Die Email sieht wie folgt aus:

Prozess Beendigung Liste der Dienste die beendet werden:
   • System Restore
   • Internet Connection Firewall (Windows Firewall)/Internet Connection Sharing
   • Norton AntiVirus Auto-Protect Service (navapsvc)

Hintertür Die folgenden Ports werden geöffnet:

– %WINDIR%\services.exe am TCP Port 5110 um Backdoor Funktion zur Verfügung zu stellen.
– %WINDIR%\services.exe am TCP Port 5112 um einen FTP Server zur Verfügung zu stellen.
– %WINDIR%\services.exe am TCP Port 51100 um einen FTP Server zur Verfügung zu stellen.

Diebstahl – Nachdem Tastaturanschläge welche mit folgender Zeichenkette übereinstimmt gedrückt wurden wird eine Protokollfunktion gestartet.
   • %any key%

– Aufgezeichnet wird:
    • Tastaturanschläge
    • Fensterinformation

Rootkit Technologie Ist eine Technoloie die eine bestimmte Art von Malware beschreibt. Diese versteckt sich vor Systemprogrammen, Sicherheitsprogrammen und letztendlich dem Benutzer.

Versteckt folgendes:
– Eigene Registryschlüssel

Eingesetzte Methode:
• Unsichtbar von Windows API

Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in Delphi geschrieben.

Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit einem Laufzeitpacker gepackt.

Kurzfassung hier.

Beschreibung erstellt von Andrei Gherman am Tue, 20 Sep 2005 09:01 (GMT+1)
Beschreibung geändert von Andrei Ivanes am Tue, 20 Sep 2005 12:31 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück