BDS/Agent.RF.2 - Backdoor Server

Siehe auch Deutsch

Kurzfassung

Vollständig

Statistik

Name:	BDS/Agent.RF.2
Entdeckt am:	02/08/2006
Art:	Backdoor Server
In freier Wildbahn:	Nein
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig
Schadenspotenzial:	Niedrig bis mittel
Statische Datei:	Ja
Dateigröße:	41.472 Bytes
MD5 Prüfsumme:	29ab2c1a647058e1613e2c1661caff14
VDF Version:	6.35.01.36 - Wed, 02 Aug 2006 07:54 (GMT+1) - Wed, 02 Aug 2006 07:54 (GMT+1)
IVDF Version:	6.35.01.36 - Wed, 02 Aug 2006 07:54 (GMT+1) - Wed, 02 Aug 2006 07:54 (GMT+1)

General Verbreitungsmethode:
   • Keine eigene Verbreitungsroutine

Aliases:
   • Kaspersky: Backdoor.Win32.Agent.acx
   • TrendMicro: BKDR_AGENT.DAB
   • Bitdefender: Backdoor.Agent.RF

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Setzt Sicherheitseinstellungen herunter
   • Änderung an der Registry

Dateien Eine Kopie seiner selbst wird hier erzeugt:
• %SYSDIR%\taskmgn.exe

Registry Der folgende Registryschlüssel wird hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • "Windows Task Manager"="%SYSDIR%\taskmgn.exe"

Alle Werte des folgenden Registryschlüssel und alle Subkeys werden gelöscht:
   • HKCU\SOFTWARE\Microsoft\DMSDOS\RM

Folgende Registryschlüssel werden hinzugefügt:

– HKCU\Software\Microsoft\DMSDOS
   • "CurrentVersion"=dword:00000023
   • "Last Update"="%aktuelles Datum% %aktuelle Stunde%"
   • "Next Update"="%Datum aus der Zukunft% %aktuelle Stunde%"
   • "StartupURL"="http://87.249.38.126/update/s.dat"
   • "Id"="%Hexadezimale Zahl%"

– HKCU\SOFTWARE\Microsoft\DMSDOS\RM
   • "%Verzeichnis in dem die Malware ausgeführt wurde%\%ausgeführte Datei%"="%Verzeichnis in dem die Malware ausgeführt wurde%\%ausgeführte Datei%"

Folgender Registryschlüssel wird geändert:

– HKLM\SOFTWARE\Microsoft\Security Center
   Neuer Wert:
   • "FirewallOverride"=dword:00000001
   • "AntiVirusOverride"=dword:00000001

Prozess Beendigung Liste der Prozesse die beendet werden:
   • Anti-Trojan.exe; ANTS.exe; apvxdwin.exe; ATCON.exe; ATUPDATER.exe;
      ATWATCH.exe; AUPDATE.exe; AUTODOWN.exe; AUTOTRACE.exe; AUTOUPDATE.exe;
      Avconsol.exe; AVP.exe; AVP32.exe; avpcc.exe; avpm.exe; AVPUPD.exe;
      Avsynmgr.exe; AVWUPD32.exe; AVXQUAR.exe; bdmcon.exe; bdoesrv.exe;
      bdss.exe; CMGrdian.exe; drwebupw.exe; GUARD.exe; iamapp.exe;
      iamserv.exe; ICLOAD95.exe; ICLOADNT.exe; ICMON.exe; ICSSUPPNT.exe;
      ICSUPP95.exe; ICSUPPNT.exe; LUCOMSERVER.exe; MCAGENT.exe;
      mcupdate.exe; MINILOG.exe; MOOLIVE.exe; NAVAPW32.exe; NMAIN.exe;
      NPROTECT.exe; NSCHED32.exe; NUPGRADE.exe; regedit.exe; regedt32.exe;
      RuLaunch.exe; Vshwin32.exe; VsStat.exe; zatutor.exe; zonealarm.exe

Hintertür Der folgende Port wird geöffnet:

– %SYSDIR%\taskmgn.exe an einem zufälligen TCP port um einen Socks4 Proxy Server zur Verfügung zu stellen.

Kontaktiert Server:
Alle der folgenden:
   • http://87.249.38.126/asg234/**********?v=%Nummer%&u=%zufällige Buchstabenkombination%&t=%Buchstabe%&p=%geöffneter Port%&g=%Hexadezimale Zahl%&w=%Betriebssystem%
   • http://87.249.38.126/update/**********?v=%Nummer%

Sende Informationen über:
    • Geöffneter Port
    • Information über das Windows Betriebsystem

Diverses Kontaktiert folgende Webseite um auf eine vorhandene Internetverbindung zu Überprüfen:
• http://v5.windowsupdate.microsoft.com/v5consumer/QyehIhd.inc

Mutex:
Es wird folgender Mutex erzeugt:
• 68E1D888-19B3-4F40-8941-95EC38E4AF69

Datei Einzelheiten Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit folgendem Laufzeitpacker gepackt:
• UPX

Kurzfassung hier.

Beschreibung erstellt von Ionut Slaveanu am Tue, 08 Aug 2006 16:03 (GMT+1)
Beschreibung geändert von Ionut Slaveanu am Mon, 28 Aug 2006 10:15 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück