BDS/Virkel.A - Backdoor Server

Vea también

Resumen

Descripción completa

Estadísticas

Nombre:	BDS/Virkel.A
Descubierto:	28/10/2005
Tipo:	Servidor Backdoor
En circulación (ITW):	No
Número de infecciones comunicadas:	Bajo
Potencial de propagación:	Medio-bajo
Potencial dañino:	Medio
Fichero estático:	Sí
Tamaño:	104.960 Bytes
Suma de control MD5:	87768eb9f0beaaac91be85d82e010B95
Versión del VDF:	6.32.00.117

General Método de propagación:
   • Messenger

Alias:
   • Symantec: W32.Chod.D
   • Kaspersky: Backdoor.Win32.Virkel.a
   • Bitdefender: Backdoor.Chodebot.A

Plataformas / Sistemas operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efectos secundarios:
   • Bloquea el acceso a portales de seguridad
   • Desactiva los programas de seguridad
   • Suelta un fichero dañino
   • Reduce las opciones de seguridad
   • Modificaciones en el registro
   • Roba informaciones
   • Posibilita el acceso no autorizado al ordenador

Ficheros Se copia a sí mismo en la siguiente ubicación:
• %SYSDIR%\%serie de caracteres aleatorios%\csrss.exe

Elimina la copia inicial del virus.

Crea los siguientes ficheros:

– %SYSDIR%\%serie de caracteres aleatorios%\smss.exe Además, el fichero es ejecutado después de haber sido creado. Este fichero sirve como indicador para una rutina interna.
– %SYSDIR%\%serie de caracteres aleatorios%\csrss.ini Contiene parámetros empleados por el programa malicioso.
– %SYSDIR%\netstat.com Este fichero sirve como indicador para una rutina interna.

Registro Añade las siguientes claves del registro para ejecutar los procesos al iniciar el sistema:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "csrss"=""

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "csrss"=""

– [HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows]
   • "load"="%SYSDIR%\%serie de caracteres aleatorios%\csrss.exe"
   • "run=%SYSDIR%\%serie de caracteres aleatorios%\csrss.exe"

Elimina las siguientes claves del registro, incluyendo todos sus valores y subclaves:
   • [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\CleanUp]
   • [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\MCAgentExe]
   • [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\MCUpdateExe]
   • [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\VirusScan Online]
   • [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\VSOCheckTask]
   • [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ccApp]
   • [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\MCAgentExe]
   • [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\MCUpdateExe]
   • [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Symantec NetDriver Monitor]
   • [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\SmcService]
   • [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Outpost Firewall]
   • [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\gcasServ]
   • [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\pccguide.exe]

Añade las siguientes claves al registro:

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
   • "Hidden"=dword:00000002
   • "SuperHidden"=dword:00000000
   • "ShowSuperHidden"=dword:00000000

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System]
   • "DisableRegistryTools"="1"
   • "NoAdminPage"="1"

Messenger Se propaga por Messenger. Sus características están descritas a continuación:

– AIM Messenger
– MSN Messenger

IRC Para enviar informaciones y para proporcionar control remoto, se conecta a los siguientes servidores IRC:

Servidor: bak.**********.net
Puerto: 37737
Canal: #.upd
Apodo: %serie de caracteres de 10 dígitos aleatorios%

Servidor: pjn.**********.net
Puerto: 37737
Canal: #.upd
Apodo: %serie de caracteres de 10 dígitos aleatorios%

– Este programa malicioso puede obtener y enviar informaciones tales como:
    • Captura de pantalla
    • Velocidad del procesador
    • Usuario actual
    • Informaciones acerca de los controladores de dispositivos
    • Espacio libre en el disco
    • Memoria disponible
    • Tiempo de trabajo del programa viral
    • Informaciones acerca de la red
    • ID de la plataforma
    • Informaciones acerca de los procesos del sistema
    • Tamaño de la memoria
    • Carpeta Windows
    • Informaciones acerca del sistema operativo Windows

– Además puede efectuar las siguientes operaciones:
    • conectarse al servidor IRC
    • Iniciar ataques DDoS por desbordamiento de ICMP
    • Iniciar ataques DDoS por desbordamiento de TCP
    • Iniciar ataques DDoS por desbordamiento de UDP
    • desconectarse del servidor IRC
    • Descargar fichero
    • Editar el registro del sistema
    • Ejecutar fichero
    • Ingresar a un canal IRC
    • Terminar proceso
    • Salir del canal IRC
    • Abrir remote shell
    • Registrar un servicio
    • Terminar proceso
    • Se actualiza solo
    • Cargar fichero en Internet

Ficheros host El fichero host es modificado de la siguiente manera:

– En este caso, las entradas existentes quedan sin modificar.

– El acceso a los siguientes dominios está bloqueado:
   • avp.com; www.avp.com; ca.com; dispatch.mcafee.com;
      download.mcafee.com; f-secure.com; fastclick.net; ftp.f-secure.com;
      ftp.sophos.com; liveupdate.symantec.com; customer.symantec.com;
      pccguide.exe rads.mcafee.com; mast.mcafee.com; mcafee.com;
      my-etrust.com; nai.com; networkassociates.com; secure.nai.com;
      securityresponse.symantec.com; service1.symantec.com; sophos.com;
      support.microsoft.com; symantec.com; update.symantec.com;
      updates.symantec.com; us.mcafee.com; vil.nai.com; viruslist.com;
      www.viruslist.com; www.awaps.net; www.ca.com; www.f-secure.com;
      www.fastclick.net; www.mcafee.com; www.microsoft.com;
      www.my-etrust.com; www.nai.com; www.networkassociates.com;
      www.sophos.com; www.symantec.com; www3.ca.com; www.grisoft.com;
      grisoft.com; housecall.trendmicro.com; trendmicro.com;
      www.trendmicro.com; www.pandasoftware.com; pandasoftware.com;
      kaspersky.com; www.kaspersky.com; www.zonelabs.com; zonelabs.com;
      www.spywareinfo.com; spywareinfo.com; www.merijn.org; merijn.org

El fichero host modificado se verá así:

Finalización de los procesos Listado de los procesos finalizados:
   • mpftray.exe; microsoft antispyware*; hijackthis*; msconfig.exe;
      kav.exe; kavsvc.exe; mcvsshld.exe; mcagent.exe; mcvsrte.exe;
      mcshield.exe; mcvsftsn.exe; mcdash.exe; mcvsescn.exe; mcinfo.exe;
      mpfagent.exe; CIzh_DataArrival; mpfservice.exe; mskagent.exe;
      mcmnhdlr.exe; sndsrvc.exe; usrprmpt.exe; ccapp.exe; ccevtmgr.exe;
      spbbcsvc.exe; ccsetmgr.exe; symlcsvc.exe; npfmntor.exe; navapsvc.exe;
      issvc.exe; ccproxy.exe; tmpfw.exe; navapw32.exe; navw32.exe; smc.exe;
      outpost.exe; zlclient.exe; vsmon.exe; isafe.exe; pandaavengine.exe;
      regedit.exe; hijackthis.exe; gcasdtserv.exe; gcasserv.exe;
      pcctlcom.exe; tmntsrv.exe; tmproxy.exe; pcclient.exe; ethereal.exe;
      wpe pro.exe; nat.exe; winsp3.exe; zonealarm.exe; zlclient.exe;
      vsmon.exe; mcupdmgr.exe; pccguide.exe; scrpres.dll; mcvsscrp.dll;
      vsmonapi.dll

Termina los procesos que contienen las siguientes series de caracteres:
   • KAVPersonal50; Zone Labs Client; Symantec Core LC; services;
      OutpostFirewall; Tmntsrv; tmproxy; TmPfw; PcCtlCom; CAISafe; vsmon;
      SBService; SAVScan; SPBBCSvc; ccSetMgr; ccPwdSvc; ccProxy; SNDSrvc;
      ccEvtMgr; navapsvc; ISSVC; GuardDogEXE; MpfService; MCVSRte; McShield;
      kavsvc

Listado de los servicios desactivados:
   • Internet Connection Firewall (ICF) / Internet Connection Sharing (ICS)
   • System Restore Service
   • Microsoft AntiSpyware Server Process
   • System Restore Service
   • Windows Security Center Service

Informaciones diversas Conexión a Internet:
Para verificar la conexión a Internet, se conecta a los siguientes servidores DNS:
   • dynupdate.**********.info
   • bak.**********.info

Objeto mutex:
Crea el siguiente objeto mutex:
   • ChodeBot 8=D

Datos del fichero Lenguaje de programación:
El programa de malware ha sido escrito en Visual Basic.

Programa de compresión de ejecutables:
Para agravar la detección y reducir el tamaño del fichero, emplea el siguiente programa de compresión de ejecutables:
• PE Compact 2.X

Para una breve descripción vea el resumen aquí.

Descripción insertada por Catalin Jora el Fri, 28 Oct 2005 10:44 (GMT+1)
Descripción actualizada por Catalin Jora el Wed, 02 Nov 2005 11:45 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« volver