TR/IRCBot.36864.6 - Trojan

Vea también

Resumen

Descripción completa

Estadísticas

Nombre:	TR/IRCBot.36864.6
Descubierto:	27/10/2006
Tipo:	Troyano
En circulación (ITW):	No
Número de infecciones comunicadas:	Bajo
Potencial de propagación:	Bajo
Potencial dañino:	Medio
Fichero estático:	Sí
Tamaño:	36.864 Bytes
Suma de control MD5:	e9e2e113fdf03154593a6881c275f7b9
Versión del VDF:	6.36.01.136
Versión del IVDF:	6.36.01.144

General Método de propagación:
   • No tiene rutina propia de propagación

Alias:
   • Mcafee: BackDoor-CMQ
   • Kaspersky: Trojan-Proxy.Win32.Horst.pg
   • TrendMicro: TROJ_HORST.HI
   • F-Secure: Trojan-Proxy.Win32.Horst.pg
   • Eset: Win32/Medbot.BW

Identificado anteriormente como:
   • Worm/IRCBot.36864.6

Plataformas / Sistemas operativos:
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efectos secundarios:
   • Descarga un fichero
   • Modificaciones en el registro
   • Posibilita el acceso no autorizado al ordenador

Ficheros Se copia a sí mismo en las siguientes ubicaciones:
   • %SYSDIR%\smss.exe
   • %directorio donde se ejecuta el programa viral%\smssb.exe

Intenta descargar algunos ficheros:

– La dirección es la siguiente:
   • http://up.medbod.com/up/**********
Al realizar esta descripción, dicho fichero no estaba disponible para análisis adicionales.

– La dirección es la siguiente:
   • http://up.medbod.com/up/**********
El fichero está guardado en el disco duro en: %TEMPDIR%\upd%serie de caracteres aleatorios de tres dígitos%.exe Además, este fichero es ejecutado después de haber sido descargago. Al realizar esta descripción, dicho fichero no estaba disponible para análisis adicionales.

Registro Añade la siguiente clave del registro para ejecutar el proceso al iniciar el sistema:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • ".nvsvc"="%SYSDIR%\smss.exe /w"

Elimina del registro de Windows el valor de la siguiente clave:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "KAVPersonal50"

Modifica la siguiente clave del registro:

– [HKLM\SYSTEM\CurrentControlSet\Services\wuauserv]
   Nuevo valor:
   • "Start"=dword:00000004

IRC Para enviar informaciones y para proporcionar control remoto, se conecta a los siguientes servidores IRC:

Servidor: news.zabaren.**********
Puerto: 80
Apodo: jega-1_%serie de caracteres aleatorios de cuatro dígitos%_%serie de caracteres aleatorios de cuatro dígitos%

Servidor: in.lorenim.**********
Puerto: 80
Apodo: jega-1_%serie de caracteres aleatorios de cuatro dígitos%_%serie de caracteres aleatorios de cuatro dígitos%

Servidor: sys.medarun.**********
Puerto: 80
Apodo: jega-1_%serie de caracteres aleatorios de cuatro dígitos%_%serie de caracteres aleatorios de cuatro dígitos%

– Además puede efectuar las siguientes operaciones:
• Descargar fichero
• Ejecutar fichero

Finalización de los procesos Listado de los servicios desactivados:
   • wuauserv
   • nava
   • psvc
   • Symantec Core LC
   • SAVScan
   • kavsvc
   • wscsvc

Backdoor (Puerta trasera) Servidor contactado:
La siguiente:
• dl.medbod.**********:1900(UDP)

De esta forma puede enviar informaciones.

Inyectar el código viral en otros procesos – Se inyecta en un proceso.

    Nombre del proceso:
   • svchost.exe

   Al lograr la operación, el programa malicioso cesa su ejecución, mientras que su componente inyectado queda activo.

Informaciones diversas Objeto mutex:
Crea el siguiente objeto mutex:
• 3645FBCD-ECD2-23D0-BAC4-00DE453DEF6B

Datos del fichero Lenguaje de programación:
El programa de malware ha sido escrito en MS Visual C++.

Programa de compresión de ejecutables:
Para agravar la detección y reducir el tamaño del fichero, emplea el siguiente programa de compresión de ejecutables:
• UPX

Para una breve descripción vea el resumen aquí.

Descripción insertada por Adriana Popa el Tue, 05 Dec 2006 13:30 (GMT+1)
Descripción actualizada por Adriana Popa el Thu, 07 Dec 2006 11:54 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« volver