BDS/Haxdoor.LF - Backdoor Server

Vea también

Resumen

Descripción completa

Estadísticas

Nombre:	BDS/Haxdoor.LF
Descubierto:	18/10/2006
Tipo:	Servidor Backdoor
En circulación (ITW):	No
Número de infecciones comunicadas:	Bajo
Potencial de propagación:	Bajo
Potencial dañino:	Medio
Fichero estático:	Sí
Tamaño:	55.436 Bytes
Suma de control MD5:	06d5da22f8e834d2e19c9b086a6763a8
Versión del VDF:	6.36.00.90
Versión del IVDF:	6.36.00.106

General Método de propagación:
   • No tiene rutina propia de propagación

Alias:
   • Mcafee: BackDoor-BAC!55436
   • Kaspersky: Backdoor.Win32.Haxdoor.lf
   • TrendMicro: PAK_Generic.001
   • F-Secure: W32/Goldun.NC
   • Sophos: Troj/Haxdoor-DG
   • Eset: Win32/Haxdoor

Plataformas / Sistemas operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efectos secundarios:
   • Suelta ficheros dañinos
   • Modificaciones en el registro
   • Posibilita el acceso no autorizado al ordenador

Ficheros Crea los siguientes ficheros:

– %SYSDIR%\kgctini.dat
– %SYSDIR%\ydsvgd.sys Además, el fichero es ejecutado después de haber sido creado. Los análisis adicionales indicaron que este fichero es también viral. Detectado como: BDS/Haxdoor.JU.1

– %SYSDIR%\qo.sys Además, el fichero es ejecutado después de haber sido creado. Los análisis adicionales indicaron que este fichero es también viral. Detectado como: BDS/Haxdoor.JU.1

– %SYSDIR%\ycsvgd.sys Además, el fichero es ejecutado después de haber sido creado. Los análisis adicionales indicaron que este fichero es también viral. Detectado como: BDS/Haxdoor.JU.1

– %SYSDIR%\qo.dll Además, el fichero es ejecutado después de haber sido creado. Los análisis adicionales indicaron que este fichero es también viral. Detectado como: TR/PSW.PdPi.CT.1.D

– %SYSDIR%\ydsvgd.dll Además, el fichero es ejecutado después de haber sido creado. Los análisis adicionales indicaron que este fichero es también viral. Detectado como: TR/PSW.PdPi.CT.1.D

– C:\system32\lps.dat
– %SYSDIR%\qo.dll

Registro Añade las siguientes claves del registro para ejecutar los servicios al iniciar el sistema:

– [HKLM\SYSTEM\CurrentControlSet\Services\ycsvgd]
   • "Type"=dword:00000001
   • "Start"=dword:00000001
   • "ErrorControl"=dword:00000000
   • "ImagePath"="\??\%SYSDIR%\ycsvgd.sys"
   • "DisplayName"="PTA Adapter"

– [HKLM\SYSTEM\CurrentControlSet\Services\ycsvgd\Security]
   • "Security"=%valores hex%

– [HKLM\SYSTEM\CurrentControlSet\Services\ycsvgd\Enum]
   • "0"="Root\\LEGACY_YCSVGD\\0000"
   • "Count"=dword:00000001
   • "NextInstance"=dword:00000001

– [HKLM\SYSTEM\CurrentControlSet\Services\ydsvgd]
   • "Type"=dword:00000001
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000000
   • "ImagePath"="\??\%SYSDIR%\ycsvgc.sys"
   • "DisplayName"="PTA Adapter32"

– [HKLM\SYSTEM\CurrentControlSet\Services\ydsvgd\Security]
   • "Security"=%valores hex%

– [HKLM\SYSTEM\CurrentControlSet\Services\ydsvgd\Enum]
   • "Count"=dword:00000000
   • "NextInstance"=dword:00000000
   • "INITSTARTFAILED"=dword:00000001

Elimina del registro de Windows los valores de las siguientes claves:

– [HKLM\SYSTEM\CurrentControlSet\Services\VFILT]
   • "Start"

– [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess]
   • "start"

Crea la siguiente entrada para evitar el cortafuego de Windows XP:

– [HKLM\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\
   FirewallPolicy\StandardProfile\AuthorizedApplications\List]
   • "%WINDIR%\Explorer.EXE"="%WINDIR%\Explorer.EXE:*:Enabled:explorer"

Añade las siguientes claves al registro:

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\
   ydsvgd]
   • "CID"="[%serie de caracteres aleatorios%]"
   • "DllName"="ydsvgd.dll"
   • "Startup"="XWD33Sifix"
   • "Impersonate"=dword:00000001
   • "Asynchronous"=dword:00000001
   • "MaxWait"=dword:00000001

– [HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\ycsvgd.sys]
   • @="Driver"

– [HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\ycsvgd.sys]
   • @="Driver"

– [HKLM\SYSTEM\CurrentControlSet\Services\VFILT]
– [HKCU\Software\Microsoft\Internet Account Manager\Accounts]
– [HKCU\Identities\{%CLSID%}\Software\Microsoft\
   Internet Account Manager\Accounts]
– [HKCU\Software\RIT\The Bat!]

Modifica la siguiente clave del registro:

– [HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\
   Memory Management]
   Nuevo valor:
   • "EnforceWriteProtection"=dword:00000000

Backdoor (Puerta trasera) Abre los siguientes puertos:

– Explorer.EXE en el puerto TCP 16661 para proporcionar capabilidades de backdoor.
– Explorer.EXE en un puerto TCP aleatorio para funcionar como servidor proxy Socks 5,
– Explorer.EXE en un puerto TCP aleatorio para funcionar como servidor HTTP.

Servidor contactado:
Las siguientes:
   • http://www.grci.info/**********
   • http://www.fotravel.com/**********

De esta forma, puede enviar informaciones y obtener el control remoto. Esto se realiza mediante el método HTTP GET y POST, empleando un script PHP.

Envía informaciones acerca de:
    • Estado actual del programa viral
    • Tiempo de trabajo del programa viral
    • Puerto abierto

Inyectar el código viral en otros procesos – Inyecta el siguiente fichero en un proceso: %SYSDIR%\ydsvgd.dll

    Los siguientes procesos:
   • Explorer.exe
   • %Procesos con ventanas visibles%

Tecnología Rootkit Es una tecnología específica para los virus. El programa malicioso oculta su presencia ante las herramientas del sistema, ante las aplicaciones de seguridad y, finalmente, ante el usuario.

Oculta las siguientes:
– Sus propios ficheros

– El siguiente proceso:
   • Explorer.exe

Método empleado:
    • Oculto en Windows API

Engancha las siguientes funciones API:
   • NtCreateProcess/ZwCreateProcess
   • NtCreateProcessEx/ZwCreateProcessEx
   • NtOpenProcess/ZwOpenProcess
   • NtOpenThread/ZwOpenThread/iswxdigit
   • NtQueryDirectoryFile/ZwQueryDirectoryFile
   • NtQuerySystemInformation/RtlGetNativeSystemInformation/ZwQuerySystemInformation

Datos del fichero Programa de compresión de ejecutables:
Para agravar la detección y reducir el tamaño del fichero, emplea el siguiente programa de compresión de ejecutables:
• FSG

Para una breve descripción vea el resumen aquí.

Descripción insertada por Monica Ghitun el Wed, 18 Oct 2006 11:45 (GMT+1)
Descripción actualizada por Adriana Popa el Mon, 20 Nov 2006 14:17 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« volver