BDS/Jtram.E - Backdoor Server

Siehe auch

Kurzfassung

Vollständig

Statistik

Name:	BDS/Jtram.E
Entdeckt am:	08/12/2005
Art:	Backdoor Server
In freier Wildbahn:	Ja
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig
Schadenspotenzial:	Mittel
Statische Datei:	Ja
Dateigröße:	62.464 Bytes
MD5 Prüfsumme:	46E5CBF6377AE68557243414A28F7F11
VDF Version:	6.32.01.09

Dateien Eine Kopie seiner selbst wird hier erzeugt:
• %SYSDIR%\mfm\msrll.exe

Es wird folgende Datei erstellt:

– Nicht virulente Datei:
• %SYSDIR%\mfm\jtrma.conf

Registry Die folgenden Registryschlüssel werden hinzugefügt um den Service nach einem Neustart des Systems erneut zu laden.

– [HKLM\SYSTEM\CurrentControlSet\Services\mfm]
   • "Type"=dword:00000120
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000002
   • "ImagePath"="%SYSDIR%\mfm\msrll.exe"
   • "DisplayName"="Rll enhanced drive"
   • "ObjectName"="LocalSystem"

– [HKLM\SYSTEM\CurrentControlSet\Services\mfm\Security]
   • "Security"=%Hex Werte%

IRC Um Systeminformationen zu übermitteln und Fernsteuerung sicherzustellen wird eine Verbindung mit folgendem IRC Server hergestellt:

Server: stolen.zxy0.com
Port: 6667
Channel: #stolen
Nickname: %zufällige Buchstabenkombination%

– Des Weiteren besitzt die Malware die Fähigkeit folgende Aktionen durchzuführen:
    • DDoS ICMP Angriff starten
    • DDoS SYN Angriff starten
    • DDoS UDP Angriff starten
    • vom IRC Server abmelden
    • Datei ausführen
    • IRC Chatraum betreten
    • IRC Chatraum verlassen
    • System neu starten
    • Aktualisiert sich selbst

Hintertür Der folgende Port wird geöffnet:

– %SYSDIR%\mfm\msrll.exe am TCP Port 3000 um Backdoor Funktion zur Verfügung zu stellen.

Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in MS Visual C++ geschrieben.

Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit folgendem Laufzeitpacker gepackt:
• ASPack

Kurzfassung hier.

Beschreibung erstellt von Andrei Gherman am Fri, 09 Dec 2005 12:37 (GMT+1)
Beschreibung geändert von Oliver Auerbach am Fri, 09 Dec 2005 18:02 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück