Worm/Sdbot.53675.8 - Worm

Vea también

Resumen

Descripción completa

Estadísticas

Nombre:	Worm/Sdbot.53675.8
Descubierto:	05/11/2005
Tipo:	Gusano
En circulación (ITW):	Sí
Número de infecciones comunicadas:	Bajo
Potencial de propagación:	Medio
Potencial dañino:	Medio
Fichero estático:	Sí
Tamaño:	53.675 Bytes
Suma de control MD5:	478d1492c949d6423bb5a4505e084a5e
Versión del VDF:	6.36.00.213
Versión del IVDF:	6.36.00.237

General Método de propagación:
   • Red local

Alias:
   • Kaspersky: Backdoor.Win32.SdBot.aad
   • Sophos: Mal/Behav-001
   • VirusBuster: Worm.SdBot.EKM
   • Eset: IRC/SdBot
   • Bitdefender: Backdoor.SDBot.AAD

Plataformas / Sistemas operativos:
   • Windows 95
   • Windows 98
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efectos secundarios:
   • Suelta un fichero dañino
   • Modificaciones en el registro
   • Emplea vulnerabilidades de software
   • Posibilita el acceso no autorizado al ordenador

Ficheros Se copia a sí mismo en la siguiente ubicación:
• %WINDIR%\iexplore.exe

Renombra el siguiente fichero:

• %SYSDIR%\sfc_os.dll en %SYSDIR%\trash%serie de caracteres aleatorios de cinco dígitos%

Elimina la copia inicial del virus.

Crea el siguiente fichero:

– %SYSDIR%\sfc_os.dll Los análisis adicionales indicaron que este fichero es también viral. Detectado como: TR/Sfc.A.mod

Registro Añade las siguientes claves del registro para ejecutar el servicio al iniciar el sistema:

– HKLM\SYSTEM\CurrentControlSet\Services\Windows Internet Service
   • "Type"=dword:00000110
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000000
   • "ImagePath"="%WINDIR%\iexplore.exe"
   • "DisplayName"="Windows Internet Service"
   • "ObjectName"="LocalSystem"
   • "FailureActions"=%valores hex%
   • "Description"="Windows Internet Service"

Añade las siguientes claves al registro:

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions
   • "onliney"="%fecha actual%"

– HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
   • "SFCScan"=dword:00000000
   • "SFCDisable"=dword:ffffff9d

Infección en la red Para asegurar su propagación, el programa viral intenta conectarse a otros sistemas, tal como se describe a continuación.

Suelta copias suyas en las siguientes carpetas compartidas en la red:
   • d$\windows\system32c$\
   • d$\winnt\system32
   • c$\windows\system32
   • c$\winnt\system32
   • Admin$\system32
   • Admin$

Exploit:
Emplea las siguientes brechas de seguridad:
– MS02-061 (Elevation of Privilege in SQL Server Web)
– MS05-039 (Vulnerability in Plug and Play)
–MS06-040 (Vulnerability in Server Service)

Proceso de infección:
Crea un script FTP en el sistema afectado, para descargar el programa viral en la ubicación remota.

Ejecución remota:
–Intenta programar una ejecución remota del programa viral, en la máquina recién infectada. Por eso emplea la función NetScheduleJobAdd.

IRC Para enviar informaciones y para proporcionar control remoto, se conecta a los siguientes servidores IRC:

Servidor: mail.telon-**********
Puerto: 7412
Canal: #
Apodo: [P00|USA| %serie de caracteres aleatorios de ocho dígitos%]

Servidor: http.an1mal**********
Puerto: 9632
Canal: #
Apodo: [P00|USA| %serie de caracteres aleatorios de ocho dígitos%]

– Este programa malicioso puede obtener y enviar informaciones tales como:
    • Collected Email addresses (es)
    • Velocidad del procesador
    • Informaciones acerca de los controladores de dispositivos
    • Espacio libre en el disco
    • Memoria disponible
    • Informaciones acerca de la red
    • Informaciones acerca de los procesos del sistema
    • Tamaño de la memoria
    • Nombre de usuario
    • Informaciones acerca del sistema operativo Windows

– Además puede efectuar las siguientes operaciones:
    • Desactivar la opción de compartir recursos en la red
    • desconectarse del servidor IRC
    • Descargar fichero
    • Editar el registro del sistema
    • Activar la opción para compartir recursos en la red
    • Ejecutar fichero
    • Ingresar a un canal IRC
    • Terminar proceso
    • Salir del canal IRC
    • Abrir remote shell
    • Realizar un análisis de la red
    • Registrar un servicio
    • Terminar proceso

Finalización de los procesos Intenta finalizar los siguientes procesos y eliminar los ficheros correspondientes:
   • bbeagle.exe; d3dupdate.exe; i11r54n4.exe; irun4.exe; MSBLAST.exe;
      mscvb32.exe; PandaAVEngine.exe; Penis32.exe; rate.exe; ssate.exe;
      sysinfo.exe; taskmon.exe; teekids.exe; winsys.exe

Backdoor (Puerta trasera) Servidor contactado:
Las siguientes:
   • http://www2.dokidoki.ne.jp/tomocrus/cgi-bin/check**********
   • http://www.kinchan.net/cgi-bin/**********
   • http://www.pistarnow.is.net.pl/**********
   • http://cgi.break.power.ne.jp/check/**********
   • http://www.proxy4free.info/cgi-bin/**********
   • http://69.59.137.236/cgi/**********
   • http://tutanchamon.ovh.org/**********
   • http://www.proxy.us.pl/**********
   • http://test.anonproxies.com/**********
   • http://www.nassc.com/**********
   • http://www.littleworld.pe.kr/**********
   • http://www.anonymitytest.com/cgi-bin/**********
   • http://tn0828-web.hp.infoseek.co.jp/cgi-bin/**********

Informaciones diversas Objeto mutex:
Crea el siguiente objeto mutex:
• e4s2j7q1i1l5

Datos del fichero Lenguaje de programación:
El programa de malware ha sido escrito en MS Visual C++.

Programa de compresión de ejecutables:
Para agravar la detección y reducir el tamaño del fichero, emplea un programa de compresión de ejecutables.

Para una breve descripción vea el resumen aquí.

Descripción insertada por Irina Boldea el Wed, 31 Jan 2007 11:06 (GMT+1)
Descripción actualizada por Irina Boldea el Wed, 31 Jan 2007 15:12 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« volver