Worm/Sdbot.130560.18 - Worm

Siehe auch Deutsch

Kurzfassung

Vollständig

Statistik

Name:	Worm/Sdbot.130560.18
Entdeckt am:	13/07/2006
Art:	Worm
In freier Wildbahn:	Nein
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Mittel
Schadenspotenzial:	Mittel
Statische Datei:	Ja
Dateigröße:	130.560 Bytes
MD5 Prüfsumme:	af5b94a5c513c317d4838ba2058b63e0
VDF Version:	6.35.00.159 - Thu, 13 Jul 2006 10:38 (GMT+1)
IVDF Version:	6.35.00.198 - Fri, 21 Jul 2006 07:40 (GMT+1)

General Aliases:
   • Kaspersky: Backdoor.Win32.SdBot.aad
   • VirusBuster: virus Worm.RBot.FKB
   • Bitdefender: Backdoor.SdBot.BFU

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP

Auswirkungen:
   • Setzt Sicherheitseinstellungen herunter
   • Änderung an der Registry
   • Ermöglicht unbefugten Zugriff auf den Computer

Dateien Eine Kopie seiner selbst wird hier erzeugt:
• %WINDIR%\winamp.exe

Registry Die folgenden Registryschlüssel werden hinzugefügt um den Service nach einem Neustart des Systems erneut zu laden.

– HKLM\SYSTEM\CurrentControlSet\Services\winamp service control
   • "Type"=dword:00000110
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000000
   • "ImagePath"="%WINDIR%\winamp.exe"
   • "DisplayName"="winamp service control"
   • "ObjectName"="LocalSystem"
   • "FailureActions"=%Hex Werte%
   • "Description"="winamp service control"

Der Wert des folgenden Registry keys wird gelöscht:

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions
   • "Melt"=%Verzeichnis in dem die Malware ausgeführt wurde%\%ausgeführte Datei%

Folgende Registryschlüssel werden hinzugefügt:

– HKLM\SYSTEM\CurrentControlSet\Services\winamp service control\
   Security
   • "Security"=%Hex Werte%

– HKLM\SYSTEM\CurrentControlSet\Services\winamp service control\Enum
   • "0"="Root\\LEGACY_WINAMP_SERVICE_CONTROL\\0000"
   • "Count"=dword:00000001
   • "NextInstance"=dword:00000001

– HKLM\SYSTEM\CurrentControlSet\Enum\Root\
   LEGACY_WINAMP_SERVICE_CONTROL
   • "NextInstance"=dword:00000001

– HKLM\SYSTEM\CurrentControlSet\Enum\Root\
   LEGACY_WINAMP_SERVICE_CONTROL\0000
   • "Service"="winamp service control"
   • "Legacy"=dword:00000001
   • "ConfigFlags"=dword:00000000
   • "Class"="LegacyDriver"
   • "ClassGUID"="{8ECC055D-047F-11D1-A537-0000F8753ED1}"
   • "DeviceDesc"="winamp service control"

– HKLM\SYSTEM\CurrentControlSet\Enum\Root\
   LEGACY_WINAMP_SERVICE_CONTROL\0000\Control
   • "*NewlyCreated*"=dword:00000000
   • "ActiveService"="winamp service control"

– HKLM\SOFTWARE\Microsoft\Security Center
   • "UpdatesDisableNotify"=1
   • "AntiVirusDisableNotify"=1
   • "FirewallDisableNotify"=1
   • "AntiVirusOverride"=1
   • "FirewallOverride"=1

– HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile
   • "EnableFirewall"=1

– HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\StandardProfile
   • "EnableFirewall"=1

– HKLM\SYSTEM\CurrentControlSet\Services\wscsvc
   • "Start"=4

– HKLM\SYSTEM\CurrentControlSet\Services\TlntSvr
   • "Start"=4

– HKLM\SYSTEM\CurrentControlSet\Services\RemoteRegistry
   • "Start"=4

– HKLM\SYSTEM\CurrentControlSet\Services\Messenger
   • "Start"=4

– HKLM\SYSTEM\CurrentControlSet\Control\Lsa
   • "restrictanonymous"=1

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions
   • "Melt"=%Verzeichnis in dem die Malware ausgeführt wurde%\%ausgeführte Datei%

Folgende Registryschlüssel werden geändert:

Deaktivieren von Regedit und Task Manager:
– HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\
   Policies\System
   Alter Wert:
   • "DisableRegistryTools"=0
   • "DisableTaskMgr"=0
   Neuer Wert:
   • "DisableRegistryTools"=1
   • "DisableTaskMgr"=1

– HKLM\SOFTWARE\Microsoft\Ole
   Alter Wert:
   • "EnableDCOM"="Y"
   Neuer Wert:
   • "EnableDCOM"="N"

– HKLM\SYSTEM\CurrentControlSet\Control
   Alter Wert:
   • WaitToKillServiceTimeout="20000"
   Neuer Wert:
   • WaitToKillServiceTimeout="7000"

Infektion über das Netzwerk Exploit:
Folgende Sicherheitslücken werden ausgenutzt:
– MS02-061 (Elevation of Privilege in SQL Server Web)
– MS03-026 (Buffer Overrun in RPC Interface)
– MS03-039 (Buffer Overrun in RPCSS Service)
– MS03-049 (Buffer Overrun in the Workstation Service)
– MS04-007 (ASN.1 Vulnerability)

Entfernte Aktivierung:
–Es wird versucht die Malware auf dem neu infizierten Computer zu starten. Dies wird über die NetScheduleJobAdd Funktion realisiert.

IRC Um Systeminformationen zu übermitteln und Fernsteuerung sicherzustellen wird eine Verbindung mit folgendem IRC Server hergestellt:

Server: yes.fucuzzy.com
Port: 5552;3336
Channel: #ver#
Nickname: [P00|USA|%achtstellige zufällige Buchstabenkombination%
Passwort: m00

– Dieser Schädling hat die Fähigkeit folgende Informationen zu sammeln und zu übermitteln:
    • Prozessorgeschwindigkeit
    • Aktueller Benutzer
    • Freier Festplattenplatz
    • Freier Hauptspeicher
    • Arbeitszeit der Malware
    • Informationen über das Netzwerk
    • Informationen über laufende Prozesse
    • Größe des Speichers
    • Information über das Windows Betriebsystem

– Des Weiteren besitzt die Malware die Fähigkeit folgende Aktionen durchzuführen:
    • DDoS ICMP Angriff starten
    • DDoS SYN Angriff starten
    • DDoS UDP Angriff starten
    • Datei herunterladen
    • Datei ausführen
    • Prozess abbrechen
    • Öffnen einer remote shell
    • Scannen des Netzwerks
    • Port Weiterleitung durchführen
    • Malware beenden
    • Aktualisiert sich selbst
    • Datei Hinaufladen

Hintertür Kontaktiert Server:
Den folgenden:
• http://www.littleworld.pe.kr/**********

Dies geschieht mittels einer HTTP GET Anfrage an ein PHP Script.

Diverses Mutex:
Es wird folgender Mutex erzeugt:
• XSEQWX

Anti Debugging
Es wird überprüft ob die folgende Datei vorhanden ist:
• \\.\NTICE

Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in MS Visual C++ geschrieben.

Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit einem Laufzeitpacker gepackt.

Kurzfassung hier.

Beschreibung erstellt von Bogdan Iliuta am Mon, 11 Sep 2006 16:45 (GMT+1)
Beschreibung geändert von Bogdan Iliuta am Fri, 24 Nov 2006 11:20 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück