BDS/Hupigon.cct.2 - Backdoor Server

Vea también

Resumen

Descripción completa

Estadísticas

Nombre:	BDS/Hupigon.cct.2
Descubierto:	25/09/2006
Tipo:	Servidor Backdoor
En circulación (ITW):	No
Número de infecciones comunicadas:	Bajo
Potencial de propagación:	Bajo
Potencial dañino:	Medio-bajo
Fichero estático:	Sí
Tamaño:	338.944 Bytes
Suma de control MD5:	cf18ac20f3b377dd369cf8286d3a5df5
Versión del VDF:	6.35.01.196
Versión del IVDF:	6.35.01.200

General Método de propagación:
   • No tiene rutina propia de propagación

Alias:
   • Kaspersky: Backdoor.Win32.Hupigon.cct
   • TrendMicro: BKDR_HUPIGON.GEN
   • Bitdefender: Backdoor.Hupigon.E

Plataformas / Sistemas operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efectos secundarios:
   • Suelta ficheros dañinos
   • Registra las pulsaciones de teclado
   • Modificaciones en el registro

Ficheros Se copia a sí mismo en la siguiente ubicación:
   • %WINDIR%\G_Server2006.exe

Elimina la copia inicial del virus.

Crea los siguientes ficheros:

– %WINDIR%\G_Server2006Key.log Este es un fichero de texto que no presenta riesgo alguno e incluye el siguiente contenido:
   • %informaciones robadas%

– %WINDIR%\uninstal.bat Además, el fichero es ejecutado después de haber sido creado. Este fichero batch es empleado para eliminar un fichero.
– %WINDIR%\G_Server2006.DLL Los análisis adicionales indicaron que este fichero es también viral. Detectado como: TR/Hupigon.GQ.1

– %WINDIR%\G_Server2006Key.DLL Además, el fichero es ejecutado después de haber sido creado. Los análisis adicionales indicaron que este fichero es también viral. Detectado como: TR/Hupigon.GQ.1

Intenta descargar un fichero:

– La dirección es la siguiente:
   • http://www.news.huigezi.com/**********
Al realizar esta descripción, dicho fichero no estaba disponible para análisis adicionales.

Intenta ejecutar el siguiente fichero:

– Ejecuta uno de los ficheros siguientes:
   • %SYSDIR%\services.exe %WINDIR%\G_Server2006.exe

Registro Añade las siguientes claves del registro para ejecutar el servicio al iniciar el sistema:

– [HKLM\SYSTEM\CurrentControlSet\Services\GrayPigeonServer\Security]
   • "Security"=%valores hex%

– [HKLM\SYSTEM\CurrentControlSet001\Services\GrayPigeonServer\
   Security]
   • "Security"=%valores hex%

– [HKLM\SYSTEM\CurrentControlSet\Services\GrayPigeonServer]
   • "Type"=dword:00000110
     "Start"=dword:00000002
     "ErrorControl"=dword:00000000
     "ImagePath"="%WINDIR%\G_Server2006.exe"
     "DisplayName"="GrayPigeonServer"
     "ObjectName"="LocalSystem"
     "Description"="%serie de caracteres aleatorios%"

– [HKLM\SYSTEM\CurrentControlSet\Services\GrayPigeonServer\Enum]
   • "0"="Root\LEGACY_GRAYPIGEONSERVER\\0000"
     "Count"=dword:00000001
     "NextInstance"=dword:00000001

– [HKLM\SYSTEM\ControlSet001\Services\GrayPigeonServer]
   • "Type"=dword:00000110
     "Start"=dword:00000002
     "ErrorControl"=dword:00000000
     "ImagePath"="%WINDIR%\G_Server2006.exe"
     "DisplayName"="GrayPigeonServer"
     "ObjectName"="LocalSystem"
     "Description"="%serie de caracteres aleatorios%"

– [HKLM\SYSTEM\CurrentControlSet001\Services\GrayPigeonServer\Enum]
   • "0"="Root\LEGACY_GRAYPIGEONSERVER\\0000"
     "Count"=dword:00000001
     "NextInstance"=dword:00000001

Añade las siguientes claves al registro:

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_GRAYPIGEONSERVER\
   0000]
   • "Service"="GrayPigeonServer"
   • "Legacy"=dword:00000001
   • "ConfigFlags"=dword:00000000
   • "Class"="LegacyDriver"
   • "ClassGUID"="{8ECC055D-047F-11D1-A537-0000F8753ED1}"
   • "DeviceDesc"="GrayPigeonServer"

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_GRAYPIGEONSERVER\
   0000\Control]
   • "*NewlyCreated*"=dword:00000000
   • "ActiveService"="GrayPigeonServer"

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_GRAYPIGEONSERVER]
   • "NextInstance"=dword:00000001

Modifica la siguiente clave del registro:

– [HKCU\Software\Microsoft\Internet Explorer\Main]
   Nuevo valor:
   • "Check_Associations"="no"

Backdoor (Puerta trasera) Servidor contactado:
La siguiente:
   • http://32758.ipread.**********

Envía informaciones acerca de:
    • Nombre del ordenador
    • Informaciones acerca de la red

Capabilidades de control remoto:
    • Desactivar la opción de compartir recursos en la red
    • Activar la opción para compartir recursos en la red

Inyectar el código viral en otros procesos – Inyecta el siguiente fichero en un proceso: %WINDIR%\G_Server2006Key.DLL

    Nombre del proceso:
   • %todos los procesos activos%

– Se inyecta en un proceso.

    Nombre del proceso:
   • iexplore.exe

Tecnología Rootkit Es una tecnología específica para los virus. El programa malicioso oculta su presencia ante las herramientas del sistema, ante las aplicaciones de seguridad y, finalmente, ante el usuario.

Oculta las siguientes:
– Sus propios ficheros
– Su propia clave del registro

Método empleado:
• Oculto en Windows API

Datos del fichero Lenguaje de programación:
El programa de malware ha sido escrito en Delphi.

Programa de compresión de ejecutables:
Para agravar la detección y reducir el tamaño del fichero, emplea el siguiente programa de compresión de ejecutables:
• UPX

Para una breve descripción vea el resumen aquí.

Descripción insertada por Monica Ghitun el Mon, 25 Sep 2006 15:01 (GMT+1)
Descripción actualizada por Andrei Ivanes el Mon, 04 Dec 2006 16:48 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« volver