Worm/SdBot.41984.42 - Worm

Siehe auch Deutsch

Kurzfassung

Vollständig

Statistik

Name:	Worm/SdBot.41984.42
Entdeckt am:	07/08/2007
Art:	Worm
In freier Wildbahn:	Ja
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig bis mittel
Schadenspotenzial:	Mittel
Statische Datei:	Ja
Dateigröße:	41.984 Bytes
MD5 Prüfsumme:	8f8b66e936ba101efc6e3cb5d1dec814
IVDF Version:	6.39.00.219 - Fri, 10 Aug 2007 15:27 (GMT+1)

General Verbreitungsmethode:
   • Messenger

Aliases:
   • Mcafee: W32/Checkout
   • Kaspersky: Backdoor.Win32.SdBot.aad
   • F-Secure: Backdoor.Win32.SdBot.aad
   • Sophos: W32/Imagine-A
   • Panda: W32/MSNPoopy.A.worm
   • Grisoft: IRC-Worm/Delf.CF
   • Eset: Win32/IRCBot.XZ
   • Bitdefender: Backdoor.Sdbot.AUX

Betriebsysteme:
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Terminierung von Sicherheitsprogrammen
   • Erstellt Dateien
   • Setzt Sicherheitseinstellungen herunter
   • Änderung an der Registry
   • Macht sich Software Verwundbarkeit zu nutzen
   • Stiehlt Informationen
   • Ermöglicht unbefugten Zugriff auf den Computer

Dateien Eine Kopie seiner selbst wird hier erzeugt:
   • %WINDIR%\svchost.exe

Es wird ein Archiv mit einer Kopie seiner selbst erstellt:
   • %WINDIR%\img1756.zip

Folgende Datei wird gelöscht:
   • C:\a.bat

Es wird folgende Datei erstellt:

– C:\a.bat Des weiteren wird sie ausgeführt nachdem sie vollständig erstellt wurde. Diese Batchdatei wird genutzt um eine Datei zu löschen.

Es versucht folgende Dateien auszuführen:

– Dateiname:
   • %SYSDIR%\net.exe
unter Zuhilfenahme folgender Kommandozeilen-Parameter: stop "Security Center"

– Dateiname:
   • %SYSDIR%\net.exe
unter Zuhilfenahme folgender Kommandozeilen-Parameter: stop winvnc4

– Dateiname:
   • %SYSDIR%\net1.exe
unter Zuhilfenahme folgender Kommandozeilen-Parameter: stop "Security Center"

– Dateiname:
   • %SYSDIR%\net1.exe
unter Zuhilfenahme folgender Kommandozeilen-Parameter: stop winvnc4

Registry Der folgende Registryschlüssel wird hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
• "Microsoft Genuine Logon"="svchost.exe"

Messenger Es verbreitet sich über Messenger. Die Charakteristiken sind folgende:

– MSN Messenger

Nachricht
Die verschickte Nachricht sieht wie eine der folgenden aus:

   • look @ my cute new puppy :-D

   • look @ this picture of me, when I was a kid

   • I just took this picture with my webcam, like it?

   • check it, i shaved my head

   • have u seen my new hair?

   • what the fuck, did you see this?

   • hey man, did you take this picture?

Verbreitung via Datei
Es wird eine Datei mit folgendem Namen geschickt:
   • img1756.zip

IRC Um Systeminformationen zu übermitteln und Fernsteuerung sicherzustellen wird eine Verbindung mit folgendem IRC Server hergestellt:

Server: vpn.basecore.**********
Port: 1863
Passwort des Servers: letmein
Channel: #VPN#
Nickname: %zufällige Buchstabenkombination%
Passwort: torrent

– Dieser Schädling hat die Fähigkeit folgende Information zu sammeln und zu übermitteln:
    • Arbeitszeit der Malware
    • Information über das Windows Betriebsystem

– Des Weiteren besitzt die Malware die Fähigkeit folgende Aktionen durchzuführen:
    • vom IRC Server abmelden
    • Datei herunterladen
    • Datei ausführen
    • Prozess abbrechen
    • System neu starten
    • Starte Verbreitunsroutine
    • Aktualisiert sich selbst

Prozess Beendigung Liste der Dienste die beendet werden:
• Security Center
• winvnc4

Diverses Mutex:
Es wird folgender Mutex erzeugt:
• JFangaY

Datei Einzelheiten Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit einem Laufzeitpacker gepackt.

Kurzfassung hier.

Beschreibung erstellt von Adriana Popa am Fri, 09 Nov 2007 11:19 (GMT+1)
Beschreibung geändert von Adriana Popa am Fri, 09 Nov 2007 12:30 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück

Worm/SdBot.41984.42 - Worm

"Prozess einer Virenabwehr"