Worm/RBot.80640 - Worm

Vea también

Resumen

Descripción completa

Estadísticas

Nombre:	Worm/RBot.80640
Descubierto:	25/08/2005
Tipo:	Gusano
En circulación (ITW):	No
Número de infecciones comunicadas:	Bajo
Potencial de propagación:	Medio
Potencial dañino:	Medio
Fichero estático:	Sí
Tamaño:	80.640 Bytes
Suma de control MD5:	39f1ed3643741b4f33dfb39b96891d34
Versión del VDF:	6.31.1.140

General Método de propagación:
   • Red local

Alias:
   • VirusBuster: Worm.SdBot.BEG

Plataformas / Sistemas operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003
   • Windows CE

Efectos secundarios:
   • Descarga ficheros dañinos
   • Registra las pulsaciones de teclado
   • Modificaciones en el registro
   • Emplea vulnerabilidades de software
   • Roba informaciones
   • Posibilita el acceso no autorizado al ordenador

Ficheros Se copia a sí mismo en la siguiente ubicación:
• %SYSDIR%\mstint.exe

Elimina la copia inicial del virus.

Registro Añade las siguientes claves del registro para ejecutar los procesos al iniciar el sistema:

– HKLM\software\microsoft\windows\currentversion\run
   • "NT SYSTEM INFORMATION"="mstint.exe"

– HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
   • "NT SYSTEM INFORMATION"="mstint.exe"

Añade la siguiente clave al registro:

– HKCU\software\microsoft\ole
   • "NT SYSTEM INFORMATION"="mstint.exe"

Infección en la red Para asegurar su propagación, el programa viral intenta conectarse a otros sistemas, tal como se describe a continuación.

Emplea la siguiente información de inicio de sesión para obtener el acceso al sistema remoto:

– El siguiente listado de nombres de usuario:
   • "adm"; "db2"; "oracle"; "dba"; "database"; "default"; "guest";
      "wwwadmin"; "teacher"; student"; "owner"; "computer"; "root"; "staff";
      "admin"; "admins"; "administrat"; "administrateur"; "administrador";
      "administrator"

– El siguiente listado de contraseñas:
   • "intranet"; "lan"; "main"; "winpass"; "blank"; "office"; "control";
      "nokia"; "siemens"; "compaq"; "dell"; "cisco"; "ibm"; "orainstall";
      "sqlpassoainstall"; "sql"; "db1234"; "db1"; "databasepassword";
      "data"; "databasepass"; "dbpassword"; "dbpass"; "access";
      "domainpassword"; "domainpass"; "domain"; "hello"; "hell"; "god";
      "sex"; "slut"; "bitch"; "fuck"; "exchange"; "backup"; "technical";
      "loginpass"; "login"; "mary"; "katie"; "kate"; "george"; "eric";
      "chris"; "ian"; "neil"; "lee"; "brian"; "susan"; "sue"; "sam"; "luke";
      "peter"; "john"; "mike"; "bill"; "fred"; "joe"; "jen"; "bob"; "qwe";
      "zxc"; "asd"; "qaz"; "win2000"; "winnt"; "winxp"; "win2k"; "win98";
      "windows"; "oeminstall"; "oemuser"; "oem"; "user"; "homeuser"; "home";
      "accounting"; "accounts"; "internet"; "www"; "web"; "outlook"; "mail";
      "qwerty"; "null"; "server"; "system"; "changeme"; "linux"; "unix";
      "demo"; "none"; "test"; "2004"; "2003"; "2002"; "2001"; "2000";
      "1234567890"; "123456789"; "12345678"; "1234567"; "123456"; "12345";
      "1234"; "123"; "007"; "pwd"; "pass"; "pass1234"; "passwd"; "password";
      "password1"

Exploit:
Emplea la siguiente brecha de seguridad:
– MS04-011 (LSASS Vulnerability)

Creación de direcciones IP:
Crea direcciones IP aleatorias e intenta establecer una conexión con dichas IPs.

Proceso de infección:
Crea un script FTP en el sistema afectado, para descargar el programa viral en la ubicación remota.

IRC Para enviar informaciones y proporcionar control remoto, se conecta al siguiente servidor IRC:

Servidor: irc.**********.org
Puerto: 6667
Canal: #UnSeCrew
Apodo: USA|%serie de caracteres aleatorios%
Contraseña: N4ghM4l0n

– Este programa malicioso puede obtener y enviar informaciones tales como:
    • Contraseñas guardadas
    • Captura de imagen de la webcam
    • Velocidad del procesador
    • Espacio libre en el disco
    • Memoria disponible
    • Tiempo de trabajo del programa viral
    • Informaciones acerca de la red
    • ID de la plataforma
    • Informaciones acerca de los procesos del sistema
    • Tamaño de la memoria
    • Nombre de usuario

– Además puede efectuar las siguientes operaciones:
    • Iniciar ataques DDoS por desbordamiento de ICMP
    • Desactivar DCOM
    • Desactivar la opción de compartir recursos en la red
    • Descargar fichero
    • Ejecutar fichero
    • Terminar proceso
    • Terminar proceso viral
    • Cargar fichero en Internet
    • Visitar un sitio web

Robo de informaciones Intenta robar las siguientes informaciones:
– Windows Product ID

– Las siguientes claves de CD:
   • "Neverwinter Nights (Hordes of the Underdark)"; "Neverwinter Nights
      (Shadows of Undrentide)"; "Neverwinter Nights"; "Soldier of Fortune II
      - Double Helix"; "Software\Activision\Soldier of Fortune II - Double
      Helix"; "Hidden & Dangerous 2"; "NOX"; "Command and Conquer: Red Alert
      2"; "Software\Westwood\Red Alert"; "Command and Conquer: Tiberian
      Sun"; "Rainbow Six III RavenShield"; "Nascar Racing 2003"; "Nascar
      Racing 2002"; "NHL 2003"; "NHL 2002"; "FIFA 2003"; "FIFA 2002";
      "Shogun: Total War: Warlord Edition"; "Need For Speed: Underground";
      "Need For Speed Hot Pursuit 2"; "Medal of Honor: Allied Assault:
      Spearhead"; "Medal of Honor: Allied Assault: Breakthrough"; "Medal of
      Honor: Allied Assault"; "Global Operations"; "Command and Conquer:
      Generals"; "James Bond 007: Nightfire"; "Command and Conquer: Generals
      (Zero Hour)"; "Black and White"; "Battlefield Vietnam"; "Battlefield
      1942 (Secret Weapons of WWII)"; "Battlefield 1942 (Road To Rome)";
      "Battlefield 1942"; "Freedom Force"; "Need For Speed: Underground 2";
      "IGI 2: Covert Strike"; "Unreal Tournament 2004"; "Unreal Tournament
      2003"; "Soldiers Of Anarchy"; "Legends of Might and Magic"; "Industry
      Giant 2"; "Half-Life"; "Gunman Chronicles"; "The Gladiators";
      "Counter-Strike (Retail)"

Informaciones diversas Objeto mutex:
Crea el siguiente objeto mutex:
• UnSeCuRiTy

Datos del fichero Programa de compresión de ejecutables:
Para agravar la detección y reducir el tamaño del fichero, emplea el siguiente programa de compresión de ejecutables:
• Neolite

Para una breve descripción vea el resumen aquí.

Descripción insertada por Sergiu Oprea el Fri, 26 Aug 2005 09:09 (GMT+1)
Descripción actualizada por Sergiu Oprea el Tue, 30 Aug 2005 12:37 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« volver