¿Necesita ayuda? Pregunte a la comunidad o contrate a un experto.
Ir a Avira Answers
Nombre:Worm/Sdbot.53675.8
Descubierto:05/11/2005
Tipo:Gusano
En circulacin (ITW):S
Nmero de infecciones comunicadas:Bajo
Potencial de propagacin:Medio
Potencial daino:Medio
Fichero esttico:S
Tamao:53.675 Bytes
Suma de control MD5:478d1492c949d6423bb5a4505e084a5e
Versin del VDF:6.36.00.213
Versin del IVDF:6.36.00.237 - domingo 5 de noviembre de 2006

 General Mtodo de propagacin:
   • Red local


Alias:
   •  Kaspersky: Backdoor.Win32.SdBot.aad
   •  Sophos: Mal/Behav-001
   •  VirusBuster: Worm.SdBot.EKM
   •  Eset: IRC/SdBot
   •  Bitdefender: Backdoor.SDBot.AAD


Plataformas / Sistemas operativos:
   • Windows 95
   • Windows 98
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003


Efectos secundarios:
   • Suelta un fichero daino
   • Modificaciones en el registro
   • Emplea vulnerabilidades de software
   • Posibilita el acceso no autorizado al ordenador

 Ficheros Se copia a s mismo en la siguiente ubicacin:
   • %WINDIR%\iexplore.exe



Renombra el siguiente fichero:

      %SYSDIR%\sfc_os.dll en %SYSDIR%\trash%serie de caracteres aleatorios de cinco dgitos%



Elimina la copia inicial del virus.



Crea el siguiente fichero:

%SYSDIR%\sfc_os.dll Los anlisis adicionales indicaron que este fichero es tambin viral. Detectado como: TR/Sfc.A.mod

 Registro Aade las siguientes claves del registro para ejecutar el servicio al iniciar el sistema:

HKLM\SYSTEM\CurrentControlSet\Services\Windows Internet Service
   • "Type"=dword:00000110
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000000
   • "ImagePath"="%WINDIR%\iexplore.exe"
   • "DisplayName"="Windows Internet Service"
   • "ObjectName"="LocalSystem"
   • "FailureActions"=%valores hex%
   • "Description"="Windows Internet Service"



Aade las siguientes claves al registro:

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions
   • "onliney"="%fecha actual%"

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
   • "SFCScan"=dword:00000000
   • "SFCDisable"=dword:ffffff9d

 Infeccin en la red Para asegurar su propagacin, el programa viral intenta conectarse a otros sistemas, tal como se describe a continuacin.

Suelta copias suyas en las siguientes carpetas compartidas en la red:
   • d$\windows\system32c$\
   • d$\winnt\system32
   • c$\windows\system32
   • c$\winnt\system32
   • Admin$\system32
   • Admin$


Exploit:
Emplea las siguientes brechas de seguridad:
– MS02-061 (Elevation of Privilege in SQL Server Web)
– MS05-039 (Vulnerability in Plug and Play)
 MS06-040 (Vulnerability in Server Service)


Proceso de infeccin:
Crea un script FTP en el sistema afectado, para descargar el programa viral en la ubicacin remota.


Ejecucin remota:
Intenta programar una ejecucin remota del programa viral, en la mquina recin infectada. Por eso emplea la funcin NetScheduleJobAdd.

 IRC Para enviar informaciones y para proporcionar control remoto, se conecta a los siguientes servidores IRC:

Servidor: mail.telon-**********
Puerto: 7412
Canal: #
Apodo: [P00|USA| %serie de caracteres aleatorios de ocho dgitos%]

Servidor: http.an1mal**********
Puerto: 9632
Canal: #
Apodo: [P00|USA| %serie de caracteres aleatorios de ocho dgitos%]



 Este programa malicioso puede obtener y enviar informaciones tales como:
     Direcciones de correo electrnico recopiladas
    • Velocidad del procesador
     Informaciones acerca de los controladores de dispositivos
    • Espacio libre en el disco
    • Memoria disponible
    • Informaciones acerca de la red
    • Informaciones acerca de los procesos del sistema
    • Tamao de la memoria
    • Nombre de usuario
    • Informaciones acerca del sistema operativo Windows


 Adems puede efectuar las siguientes operaciones:
    • Desactivar la opcin de compartir recursos en la red
     desconectarse del servidor IRC
    • Descargar fichero
    • Editar el registro del sistema
    • Activar la opcin para compartir recursos en la red
    • Ejecutar fichero
    • Ingresar a un canal IRC
    • Terminar proceso
    • Salir del canal IRC
    • Abrir remote shell
     Realizar un anlisis de la red
     Registrar un servicio
    • Terminar proceso

 Finalizacin de los procesos Intenta finalizar los siguientes procesos y eliminar los ficheros correspondientes:
   • bbeagle.exe; d3dupdate.exe; i11r54n4.exe; irun4.exe; MSBLAST.exe;
      mscvb32.exe; PandaAVEngine.exe; Penis32.exe; rate.exe; ssate.exe;
      sysinfo.exe; taskmon.exe; teekids.exe; winsys.exe


 Backdoor (Puerta trasera) Servidor contactado:
Las siguientes:
   • http://www2.dokidoki.ne.jp/tomocrus/cgi-bin/check**********
   • http://www.kinchan.net/cgi-bin/**********
   • http://www.pistarnow.is.net.pl/**********
   • http://cgi.break.power.ne.jp/check/**********
   • http://www.proxy4free.info/cgi-bin/**********
   • http://69.59.137.236/cgi/**********
   • http://tutanchamon.ovh.org/**********
   • http://www.proxy.us.pl/**********
   • http://test.anonproxies.com/**********
   • http://www.nassc.com/**********
   • http://www.littleworld.pe.kr/**********
   • http://www.anonymitytest.com/cgi-bin/**********
   • http://tn0828-web.hp.infoseek.co.jp/cgi-bin/**********


 Informaciones diversas Objeto mutex:
Crea el siguiente objeto mutex:
   • e4s2j7q1i1l5

 Datos del fichero Lenguaje de programacin:
El programa de malware ha sido escrito en MS Visual C++.


Programa de compresin de ejecutables:
Para agravar la deteccin y reducir el tamao del fichero, emplea un programa de compresin de ejecutables.

Descripción insertada por Irina Boldea el miércoles 31 de enero de 2007
Descripción actualizada por Irina Boldea el miércoles 31 de enero de 2007

Volver . . . .
https:// Esta ventana está cifrada para su seguridad.