BDS/Haxdoor.LF - Backdoor Server

Siehe auch Deutsch

Kurzfassung

Vollständig

Statistik

Name:	BDS/Haxdoor.LF
Entdeckt am:	18/10/2006
Art:	Backdoor Server
In freier Wildbahn:	Nein
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig
Schadenspotenzial:	Mittel
Statische Datei:	Ja
Dateigröße:	55.436 Bytes
MD5 Prüfsumme:	06d5da22f8e834d2e19c9b086a6763a8
VDF Version:	6.36.00.90 - Tue, 10 Oct 2006 19:52 (GMT+1)
IVDF Version:	6.36.00.106 - Fri, 13 Oct 2006 16:38 (GMT+1)

General Verbreitungsmethode:
   • Keine eigene Verbreitungsroutine

Aliases:
   • Mcafee: BackDoor-BAC!55436
   • Kaspersky: Backdoor.Win32.Haxdoor.lf
   • TrendMicro: PAK_Generic.001
   • F-Secure: W32/Goldun.NC
   • Sophos: Troj/Haxdoor-DG
   • Eset: Win32/Haxdoor

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Erstellt schädliche Dateien
   • Änderung an der Registry
   • Ermöglicht unbefugten Zugriff auf den Computer

Dateien Es werden folgende Dateien erstellt:

– %SYSDIR%\kgctini.dat
– %SYSDIR%\ydsvgd.sys Des weiteren wird sie ausgeführt nachdem sie vollständig erstellt wurde. Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: BDS/Haxdoor.JU.1

– %SYSDIR%\qo.sys Des weiteren wird sie ausgeführt nachdem sie vollständig erstellt wurde. Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: BDS/Haxdoor.JU.1

– %SYSDIR%\ycsvgd.sys Des weiteren wird sie ausgeführt nachdem sie vollständig erstellt wurde. Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: BDS/Haxdoor.JU.1

– %SYSDIR%\qo.dll Des weiteren wird sie ausgeführt nachdem sie vollständig erstellt wurde. Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: TR/PSW.PdPi.CT.1.D

– %SYSDIR%\ydsvgd.dll Des weiteren wird sie ausgeführt nachdem sie vollständig erstellt wurde. Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: TR/PSW.PdPi.CT.1.D

– C:\system32\lps.dat
– %SYSDIR%\qo.dll

Registry Die folgenden Registryschlüssel werden hinzugefügt um die Service nach einem Neustart des Systems erneut zu laden.

– [HKLM\SYSTEM\CurrentControlSet\Services\ycsvgd]
   • "Type"=dword:00000001
   • "Start"=dword:00000001
   • "ErrorControl"=dword:00000000
   • "ImagePath"="\??\%SYSDIR%\ycsvgd.sys"
   • "DisplayName"="PTA Adapter"

– [HKLM\SYSTEM\CurrentControlSet\Services\ycsvgd\Security]
   • "Security"=%Hex Werte%

– [HKLM\SYSTEM\CurrentControlSet\Services\ycsvgd\Enum]
   • "0"="Root\\LEGACY_YCSVGD\\0000"
   • "Count"=dword:00000001
   • "NextInstance"=dword:00000001

– [HKLM\SYSTEM\CurrentControlSet\Services\ydsvgd]
   • "Type"=dword:00000001
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000000
   • "ImagePath"="\??\%SYSDIR%\ycsvgc.sys"
   • "DisplayName"="PTA Adapter32"

– [HKLM\SYSTEM\CurrentControlSet\Services\ydsvgd\Security]
   • "Security"=%Hex Werte%

– [HKLM\SYSTEM\CurrentControlSet\Services\ydsvgd\Enum]
   • "Count"=dword:00000000
   • "NextInstance"=dword:00000000
   • "INITSTARTFAILED"=dword:00000001

Die Werte der folgenden Registry keys werden gelöscht:

– [HKLM\SYSTEM\CurrentControlSet\Services\VFILT]
   • "Start"

– [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess]
   • "start"

Um die Windows XP Firewall zu umgehen wird folgender Eintrag erstellt:

– [HKLM\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\
   FirewallPolicy\StandardProfile\AuthorizedApplications\List]
   • "%WINDIR%\Explorer.EXE"="%WINDIR%\Explorer.EXE:*:Enabled:explorer"

Folgende Registryschlüssel werden hinzugefügt:

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\
   ydsvgd]
   • "CID"="[%zufällige Buchstabenkombination%]"
   • "DllName"="ydsvgd.dll"
   • "Startup"="XWD33Sifix"
   • "Impersonate"=dword:00000001
   • "Asynchronous"=dword:00000001
   • "MaxWait"=dword:00000001

– [HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\ycsvgd.sys]
   • @="Driver"

– [HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\ycsvgd.sys]
   • @="Driver"

– [HKLM\SYSTEM\CurrentControlSet\Services\VFILT]
– [HKCU\Software\Microsoft\Internet Account Manager\Accounts]
– [HKCU\Identities\{%CLSID%}\Software\Microsoft\
   Internet Account Manager\Accounts]
– [HKCU\Software\RIT\The Bat!]

Folgender Registryschlüssel wird geändert:

– [HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\
   Memory Management]
   Neuer Wert:
   • "EnforceWriteProtection"=dword:00000000

Hintertür Die folgenden Ports werden geöffnet:

– Explorer.EXE am TCP Port 16661 um Backdoor Funktion zur Verfügung zu stellen.
– Explorer.EXE an einem zufälligen TCP port um einen Socks5 Proxy Server zur Verfügung zu stellen.
– Explorer.EXE an einem zufälligen TCP port um einen HTTP Server zur Verfügung zu stellen.

Kontaktiert Server:
Alle der folgenden:
   • http://www.grci.info/**********
   • http://www.fotravel.com/**********

Hierdurch können Informationen gesendet und Hintertürfunktionen bereitgestellt werden. Dies geschieht mittels der HTTP GET und POST Methode unter Verwendung eines PHP Scripts.

Sende Informationen über:
    • Aktueller Malware Status
    • Arbeitszeit der Malware
    • Geöffneter Port

Injektion – Es injiziert folgende Datei in einen Prozess: %SYSDIR%\ydsvgd.dll

    Alle der folgenden Prozesse:
   • Explorer.exe
   • %Prozesse mit sichtbaren Fenstern%

Rootkit Technologie Ist eine Technoloie die eine bestimmte Art von Malware beschreibt. Diese versteckt sich vor Systemprogrammen, Sicherheitsprogrammen und letztendlich dem Benutzer.

Versteckt folgendes:
– Eigene Dateien

– Der folgende Prozess:
   • Explorer.exe

Eingesetzte Methode:
    • Unsichtbar von Windows API

Klinkt sich in folgende API-Funktionen ein:
   • NtCreateProcess/ZwCreateProcess
   • NtCreateProcessEx/ZwCreateProcessEx
   • NtOpenProcess/ZwOpenProcess
   • NtOpenThread/ZwOpenThread/iswxdigit
   • NtQueryDirectoryFile/ZwQueryDirectoryFile
   • NtQuerySystemInformation/RtlGetNativeSystemInformation/ZwQuerySystemInformation

Datei Einzelheiten Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit folgendem Laufzeitpacker gepackt:
• FSG

Kurzfassung hier.

Beschreibung erstellt von Monica Ghitun am Wed, 18 Oct 2006 11:45 (GMT+1)
Beschreibung geändert von Adriana Popa am Mon, 20 Nov 2006 14:17 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück