BDS/Haxdoor.GA.12 - Backdoor Server

Vea también

Resumen

Descripción completa

Estadísticas

Nombre:	BDS/Haxdoor.GA.12
Descubierto:	24/07/2006
Tipo:	Servidor Backdoor
En circulación (ITW):	Sí
Número de infecciones comunicadas:	Bajo
Potencial de propagación:	Bajo
Potencial dañino:	Medio
Fichero estático:	Sí
Tamaño:	56.276 Bytes
Suma de control MD5:	82a365b7a90B47d9cf0F2c9cd63c3ad1
Versión del VDF:	6.35.00.208
Versión del IVDF:	6.35.00.248

General Alias:
   • Symantec: Backdoor.Haxdoor.O
   • Mcafee: BackDoor-BAC
   • Kaspersky: Backdoor.Win32.Haxdoor.ga
   • Sophos: Troj/Haxdoor-CP
   • VirusBuster: trojan Trojan.DR.Haxdoor.JI
   • Bitdefender: Backdoor.Haxdoor.JK

Plataformas / Sistemas operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP

Efectos secundarios:
   • Bloquea el acceso a portales de seguridad
   • Desactiva los programas de seguridad
   • Suelta ficheros dañinos
   • Modificaciones en el registro
   • Roba informaciones
   • Posibilita el acceso no autorizado al ordenador

Ficheros Crea los siguientes ficheros:

– %SYSDIR%\yvsvga.dll Los análisis adicionales indicaron que este fichero es también viral. Detectado como: TR/PSW.PdPi.CT.1.D

– %SYSDIR%\qo.dll Los análisis adicionales indicaron que este fichero es también viral. Detectado como: TR/PSW.PdPi.CT.1.D

– %SYSDIR%\yvsvga.sys Los análisis adicionales indicaron que este fichero es también viral. Detectado como: BDS/Haxdoor.GA.13

– %SYSDIR%\ycsvga.sys Los análisis adicionales indicaron que este fichero es también viral. Detectado como: BDS/Haxdoor.GA.13

– %SYSDIR%\qo.sys Los análisis adicionales indicaron que este fichero es también viral. Detectado como: BDS/Haxdoor.GA.13

– %SYSDIR%\lps.dat
– %SYSDIR%\kgctini.dat
– %SYSDIR%\kps001.sys En este fichero se registran las pulsaciones de teclado.
– %SYSDIR%\shsvga.bin
– %SYSDIR%\gsvga.bin
– %SYSDIR%\mnsvgas.bin
– %SYSDIR%\ttsvga.dat
– %SYSDIR%\tnstt.a3d
– %SYSDIR%\wagfola4w.dat

Registro Añade las siguientes claves del registro para ejecutar los procesos al iniciar el sistema:

– HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\
   yvsvga
   • "CID"=%hex value%
   • "DllName"="yvsvga.dll"
   • "Startup"="XFD00Safex"
   • "Impersonate"=dword:00000001
   • "Asynchronous"=dword:00000001
   • "MaxWait"=dword:00000001

– HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\ycsvga.sys
   • @="Driver"

– HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\ycsvga.sys
   • @="Driver"

Añade las siguientes claves del registro para ejecutar los servicios al iniciar el sistema:

– HKLM\SYSTEM\CurrentControlSet\Services\ycsvga
   • "Type"=dword:00000001
   • "Start"=dword:00000001
   • "ErrorControl"=dword:00000000
   • "ImagePath"="%SYSDIR%\ycsvga.sys"
   • "DisplayName"="NDIS OSI"

– HKLM\SYSTEM\CurrentControlSet\Services\yvsvga
   • "Type"=dword:00000001
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000000
   • "ImagePath"="%SYSDIR%\ycsvg.sys"
   • "DisplayName"="NDIS OSI32"

Añade las siguientes claves al registro:

– HKLM\SYSTEM\CurrentControlSet\Services\ycsvga\Enum
   • "0"="Root\\LEGACY_YCSVGA\\0000"
   • "Count"=dword:00000001
   • "NextInstance"=dword:00000001

– HKLM\SYSTEM\CurrentControlSet\Services\yvsvga\Security
   • "Security"=%hex value%

– HKLM\SYSTEM\CurrentControlSet\Services\yvsvga\Enum
   • "Count"=dword:00000000
   • "NextInstance"=dword:00000000
   • "INITSTARTFAILED"=dword:00000001

Finalización de los procesos Listado de los procesos finalizados:
   • zapro.exe
   • vsmon.exe
   • jamapp.exe
   • atrack.exe
   • iamapp.exe
   • FwAct.exe
   • mpfagent.exe
   • outpost.exe
   • zlclient.exe
   • mpftray.exe

Backdoor (Puerta trasera) Abre los siguientes puertos:

– %SYSDIR%\yvsvga.dll en un puerto TCP aleatorio
– %SYSDIR%\yvsvga.dll en un puerto TCP aleatorio
– %SYSDIR%\yvsvga.dll en un puerto TCP aleatorio

Envía informaciones acerca de:
    • Contraseñas guardadas
    • Ficheros de informe creados

Capabilidades de control remoto:
    • Descargar fichero
    • Ejecutar fichero
    • Enviar mensajes de correo
    • Iniciar la captura de pulsaciones de teclado

Robo de informaciones Intenta robar las siguientes informaciones:
– Informaciones acerca de la cuenta de correo, obtenidas de la clave del registro: HKCU\Software\Microsoft\Internet Account Manager\Accounts

– Captura:
• Pulsaciones de teclado

– Después de visitar el siguiente sitio web, se crea una rutina para generar ficheros de informe:
• www.e-gold.com

Inyectar el código viral en otros procesos – Inyecta el siguiente fichero en un proceso: %SYSDIR%\yvsvga.dll

    Nombre del proceso:
   • %todos los procesos se han iniciado después de que el malware es
      activo en la memoria%

Propósito:
El acceso a los siguientes sitios web está efectivamente bloqueado:
   • customer.symantec.com; dispatch.mcafee.com; download.mcafee.com;
      avp.com avp.ru awaps.net; virustotal.com; engine.awaps.net;
      f-secure.com; updates.drweb-online.com; ftp.kaspersky.ru;
      rads.mcafee.com; ftp.sophos.com; liveupdate.symantec.com;
      kaspersky.com; kaspersky-labs.com; kaspersky.ru;
      liveupdate.symantecliveupdate.com; mast.mcafee.com; mcafee.com;
      my-etrust.com; networkassociates.com; phx.corporate-ir.net;
      securityresponse.symantec.com; service1.symantec.com; sophos.com;
      spd.atdmt.com; symantec.com; trendmicro.com; update.symantec.com;
      updates.symantec.com; us.mcafee.com; u2.eset.com

Tecnología Rootkit Oculta las siguientes:
– Sus propios ficheros
– Sus propios procesos

Método empleado:
• Oculto en Windows API

Datos del fichero Programa de compresión de ejecutables:
Para agravar la detección y reducir el tamaño del fichero, emplea el siguiente programa de compresión de ejecutables:
• FSG

Para una breve descripción vea el resumen aquí.

Descripción insertada por Bogdan Iliuta el Wed, 20 Sep 2006 15:11 (GMT+1)
Descripción actualizada por Andrei Ivanes el Mon, 16 Oct 2006 12:08 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« volver