Worm/Sdbot.19212 - Worm

Vea también

Resumen

Descripción completa

Estadísticas

Nombre:	Worm/Sdbot.19212
Descubierto:	02/11/2006
Tipo:	Gusano
En circulación (ITW):	No
Número de infecciones comunicadas:	Bajo
Potencial de propagación:	Medio-alto
Potencial dañino:	Medio
Fichero estático:	Sí
Tamaño:	19.212 Bytes
Suma de control MD5:	d810a7a72bb1b9ea13a691ae8f85353f
Versión del VDF:	6.36.00.117
Versión del IVDF:	6.36.00.134

General Métodos de propagación:
   • Red local
   • Messenger

Alias:
   • Mcafee: W32/Sdbot.worm.gen.h
   • Sophos: Mal/Behav-057
   • Grisoft: BackDoor.Generic3.RZA
   • Eset: Win32/IRCBot.UE
   • Bitdefender: Generic.PWStealer.724E7E99

Plataformas / Sistemas operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efectos secundarios:
   • Modificaciones en el registro
   • Emplea vulnerabilidades de software
   • Posibilita el acceso no autorizado al ordenador

Ficheros Se copia a sí mismo en la siguiente ubicación:
• %SYSDIR%\dllcache\updtftpini.exe

Elimina la copia inicial del virus.

Registro Añade las siguientes claves del registro para ejecutar el servicio al iniciar el sistema:

– [HKLM\SYSTEM\CurrentControlSet\Services\Microsoft windows FTPd\
   Security]
   • "Security"=%valores hex%

– [HKLM\SYSTEM\CurrentControlSet\Services\Microsoft windows FTPd]
   • "Type"=dword:00000110
     "Start"=dword:00000002
     "ErrorControl"=dword:00000000
     "ImagePath"="%SYSDIR%\dllcache\updtftpini.exe"
     "DisplayName"="Microsoft windows FTPd"
     "ObjectName"="LocalSystem"
     "FailureActions"=%valores hex%
     "Description"="Windows security FTPd update"

– [HKLM\SYSTEM\CurrentControlSet\Services\Microsoft windows FTPd\
   Enum]
   • "0"="Root\\LEGACY_MICROSOFT_WINDOWS_FTPD\\0000"
     "Count"=dword:00000001
     "NextInstance"=dword:00000001

Añade las siguientes claves al registro:

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\
   LEGACY_MICROSOFT_WINDOWS_FTPD]
   • "NextInstance"=dword:00000001

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\
   LEGACY_MICROSOFT_WINDOWS_FTPD\0000]
   • "Service"="Microsoft windows FTPd"
   • "Legacy"=dword:00000001
   • "ConfigFlags"=dword:00000000
   • "Class"="LegacyDriver"
   • "ClassGUID"="{8ECC055D-047F-11D1-A537-0000F8753ED1}"
   • "DeviceDesc"="Microsoft windows FTPd"

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\
   LEGACY_MICROSOFT_WINDOWS_FTPD\0000\Control]
   • "*NewlyCreated*"=dword:00000000
   • "ActiveService"="Microsoft windows FTPd"

Modifica la siguiente clave del registro:

– [HKLM\SYSTEM\ControlSet001\Control\ServiceCurrent]
   Nuevo valor:
   • @=dword:0000000d

Messenger Se propaga por Messenger. Sus características están descritas a continuación:

– AIM Messenger

Infección en la red Para asegurar su propagación, el programa viral intenta conectarse a otros sistemas, tal como se describe a continuación.

Suelta copias suyas en las siguientes carpetas compartidas en la red:
   • C$
   • D$

Emplea la siguiente información de inicio de sesión para obtener el acceso al sistema remoto:

–Contraseñas y nombres de usuarios almacenados.

– Un listado de nombres de usuario y contraseñas:
   • www; windows; web; visitor; test2; test1; test; temp; telnet; ruler;
      remote; real; random; qwerty; public; pub; private; poiuytre;
      password; passwd; passoracle; one; nopass; nobody; nick; newpass; new;
      network; monitor; money; manager; mail; login; internet; install;
      hello; guest; free; demo; default; debug; database; crew; computer;
      coffee; bin; beta; backup; backdoor; anonymous; anon; alpha; adm;
      access; abc123; abc; system; sys; super; sql; shit; shadow; setup;
      security; secure; secret; 123456789; 12345678; 1234567; 123456; 12345;
      1234; 123; 00000000; 0000000; 000000; 00000; 0000; 000; server;
      asdfgh; admin; root

Exploit:
Emplea las siguientes brechas de seguridad:
– MS02-061 (Elevation of Privilege in SQL Server Web)
– MS04-007 (ASN.1 Vulnerability)
–MS06-040 (Vulnerability in Server Service)

Creación de direcciones IP:
Crea direcciones IP aleatorias y guarda los primeros dos octetos de su propia dirección. Luego intenta establecer una conexión con las direcciones generadas.

Proceso de infección:
Crea un script FTP en el sistema afectado, para descargar el programa viral en la ubicación remota.

IRC Para enviar informaciones y proporcionar control remoto, se conecta al siguiente servidor IRC:

Servidor: freedoom.suicidegaming.**********
Puerto: 4512
Canal: #sm
Apodo: [%número%]USA|%versión de Windows% -SP%número%[P]%serie de caracteres aleatorios de seis dígitos%
Contraseña: 2pac

– Este programa malicioso puede obtener y enviar informaciones tales como:
    • ID de la plataforma
    • Informaciones acerca del sistema operativo Windows

– Además puede efectuar las siguientes operaciones:
    • conectarse al servidor IRC
    • Iniciar ataques DDoS por desbordamiento de SYN
    • desconectarse del servidor IRC
    • Descargar fichero
    • Ejecutar fichero
    • Ingresar a un canal IRC
    • Salir del canal IRC
    • Realizar un análisis de la red
    • Redirigir puertos
    • Apagar sistema
    • Iniciar la captura de pulsaciones de teclado
    • Iniciar la rutina de propagación
    • Se actualiza solo

Backdoor (Puerta trasera) Abre los siguientes puertos:

– %SYSDIR%\dllcache\updtftpini.exe en un puerto TCP aleatorio para funcionar como servidor FTP.
– %SYSDIR%\dllcache\updtftpini.exe en un puerto TCP aleatorio para funcionar como servidor HTTP.

Informaciones diversas Objeto mutex:
Crea el siguiente objeto mutex:
• windxws

Datos del fichero Lenguaje de programación:
El programa de malware ha sido escrito en MS Visual C++.

Programa de compresión de ejecutables:
Para agravar la detección y reducir el tamaño del fichero, emplea un programa de compresión de ejecutables.

Para una breve descripción vea el resumen aquí.

Descripción insertada por Monica Ghitun el Thu, 02 Nov 2006 16:02 (GMT+1)
Descripción actualizada por Monica Ghitun el Tue, 21 Nov 2006 15:04 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« volver