Worm/Sdbot.61703 - Worm

Vea también

Resumen

Descripción completa

Estadísticas

Nombre:	Worm/Sdbot.61703
Descubierto:	29/11/2006
Tipo:	Gusano
En circulación (ITW):	No
Número de infecciones comunicadas:	Bajo
Potencial de propagación:	Medio
Potencial dañino:	Bajo
Fichero estático:	Sí
Tamaño:	61.703 Bytes
Suma de control MD5:	7cf8119e86ef39f40c178e6b908b2b0e
Versión del VDF:	6.36.00.147
Versión del IVDF:	6.36.00.164

General Métodos de propagación:
   • Red local
   • Messenger

Alias:
   • Kaspersky: Backdoor.Win32.SdBot.xd
   • Grisoft: IRC/BackDoor.SdBot2.KKN
   • Eset: IRC/SdBot

Plataformas / Sistemas operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efectos secundarios:
   • Desactiva los programas de seguridad
   • Suelta un fichero
   • Reduce las opciones de seguridad
   • Modificaciones en el registro
   • Emplea vulnerabilidades de software
   • Roba informaciones
   • Posibilita el acceso no autorizado al ordenador

Ficheros Elimina la copia inicial del virus.

Crea el siguiente fichero:

– %TEMPDIR%\removeMe%serie de caracteres aleatorios de cuatro dígitos%.bat Además, el fichero es ejecutado después de haber sido creado. Este fichero batch es empleado para eliminar un fichero.

Messenger Se propaga por Messenger. Sus características están descritas a continuación:

– AIM Messenger

Infección en la red Para asegurar su propagación, el programa viral intenta conectarse a otros sistemas, tal como se describe a continuación.

Suelta copias suyas en las siguientes carpetas compartidas en la red:
   • IPC$
   • C$
   • D$
   • D$\windows\system32
   • C$\windows\system32
   • c$\winnt\system32
   • ADMIN$\system32\
   • ADMIN$

Emplea la siguiente información de inicio de sesión para obtener el acceso al sistema remoto:

–Contraseñas y nombres de usuarios almacenados.

– Un listado de nombres de usuario y contraseñas:
   • server; asdfgh; asdf; !@; $%^&; !@; $%^; !@; $%; !@; $; 654321;
      123456; 12345; 1234; 123; 111; root; admin; administrator

Exploit:
Emplea las siguientes brechas de seguridad:
– MS03-026 (Buffer Overrun in RPC Interface)
– MS03-039 (Buffer Overrun in RPCSS Service)
– MS03-049 (Buffer Overrun in the Workstation Service)
– MS04-007 (ASN.1 Vulnerability)
– MS04-011 (LSASS Vulnerability)
– MS05-039 (Vulnerability in Plug and Play)

Creación de direcciones IP:
Crea direcciones IP aleatorias e intenta establecer una conexión con dichas IPs.
Crea direcciones IP aleatorias y guarda el primer octeto de su propia dirección. Luego intenta establecer una conexión con las direcciones generadas.

Proceso de infección:
Crea un script FTP en el sistema afectado, para descargar el programa viral en la ubicación remota.

Ejecución remota:
–Intenta programar una ejecución remota del programa viral, en la máquina recién infectada. Por eso emplea la función NetScheduleJobAdd.

IRC Para enviar informaciones y proporcionar control remoto, se conecta al siguiente servidor IRC:

Servidor: kirsty.4n4rchy99.**********
Puerto: 61521
Contraseña del servidor: deddyman
Canal: #q0
Apodo: [P00|USA|%número%]

– Este programa malicioso puede obtener y enviar informaciones tales como:
    • Velocidad del procesador
    • Usuario actual
    • Informaciones acerca de los controladores de dispositivos
    • Espacio libre en el disco
    • Memoria disponible
    • Tiempo de trabajo del programa viral
    • Informaciones acerca de la red
    • Tamaño de la memoria
    • Informaciones acerca del sistema operativo Windows

– Además puede efectuar las siguientes operaciones:
    • Iniciar ataques DDoS por desbordamiento de ICMP
    • Desactivar la opción de compartir recursos en la red
    • Descargar fichero
    • Activar la opción para compartir recursos en la red
    • Ingresar a un canal IRC
    • Salir del canal IRC
    • Ejecutar ataque DDoS
    • Realizar un análisis de la red
    • Enviar mensajes de correo
    • Terminar proceso
    • Se actualiza solo

Finalización de los procesos Listado de los servicios desactivados:
   • Security Center
   • Windows Firewall/ICS
   • Remote Registry
   • Telnet
   • wscsvc
   • SharedAccess
   • Messenger
   • RemoteRegistry
   • Tlntsvr

Backdoor (Puerta trasera) Servidor contactado:
La siguiente:
• http://www.4n4rchy99.info/**********

De esta forma puede enviar informaciones.

Robo de informaciones Intenta robar las siguientes informaciones:
– Contraseñas guardadas, empleadas por la función AutoComplete
– Informaciones acerca de la cuenta de correo, obtenidas de la clave del registro: HKCU\Software\Microsoft\Internet Account Manager\Accounts

– Las contraseñas de los siguientes programas:
   • POP3 Server
   • Hotmail
   • HTTPMail
   • Outlook Express
   • MSN
   • IE Explorer

Informaciones diversas Técnicas anti-debugging
Verifica si está funcionando el siguiente programa:
• SoftIce

Datos del fichero Lenguaje de programación:
El programa de malware ha sido escrito en MS Visual C++.

Programa de compresión de ejecutables:
Para agravar la detección y reducir el tamaño del fichero, emplea un programa de compresión de ejecutables.

Para una breve descripción vea el resumen aquí.

Descripción insertada por Monica Ghitun el Wed, 29 Nov 2006 15:54 (GMT+1)
Descripción actualizada por Monica Ghitun el Thu, 21 Dec 2006 11:59 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« volver