Nom:Worm/RBot.184320.6
La date de la découverte:30/09/2005
Type:Ver
En circulation:Non
Infections signalées Faible
Potentiel de distribution:Moyen
Potentiel de destruction:Moyen
Fichier statique:Oui
Taille du fichier:184.320 Octets
Somme de contrôle MD5:44db115d787dedf324c3cdda53752ef9
Version VDF:6.32.0.52

 Général Méthode de propagation:
   • Le réseau local


Les alias:
   •  Mcafee: W32/Sdbot.worm.gen.ar
   •  Kaspersky: Backdoor.Win32.IRCBot.az
   •  TrendMicro: WORM_RBOT.CIS
   •  Bitdefender: Backdoor.Ircbot.AZ


Plateformes / Systèmes d'exploitation:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003


Effets secondaires:
   • Il enregistre les frappes de touche
   • Il modifie des registres
   • Il emploie les vulnérabilités de software
   • Il vole de l'information
   • Il facilite l'accès non autorisé à l'ordinateur

 Fichiers Il s'autocopie dans l'emplacement suivant:
   • %SYSDIR%\%chaîne de caractères aléatoire%.pif



Il supprime sa propre copie, exécutée initialement

 Registre Les clés de registre suivantes sont ajoutées afin d'exécuter des processus après le redémarrage:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "Microsoft Intrenet Explorer"="%chaîne de caractères aléatoire%.pif"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
   • "Microsoft Intrenet Explorer"="%chaîne de caractères aléatoire%.pif"



La clé de registre suivante est ajoutée:

– [HKCU\Software\Microsoft\OLE]
   • "Microsoft Intrenet Explorer"="%chaîne de caractères aléatoire%.pif"

 Infection du réseau Afin de assurer sa propagation, le malware essaye de se connecter à d'autres machines comme décrit ci-dessous.

Il s'autocopie dans les partages réseau suivants:
   • ADMIN$
   • IPC$
   • c$


Il emploie les informations d'identification suivantes afin de gagner accès à la machine distante:

– La liste suivante de noms d'utilisateurs:
   • adm; admin; administrador; administrat; administrateur; administrator;
      admins; computer; database; dba; default; guest; oracle; owner; staff;
      student; teacher; wwwadmin

– La liste suivante de mots de passe:
   • 007; 123; 1234; 2000; 2001; 2002; 2003; 2004; 2005; 7410; 8520; 12345;
      123456; 1234567; 12345678; 123456789; 1234567890; 4nC; access;
      accounting; accounts; asd; asdf; backup; bill; bitch; blank; bob;
      brian; changeme; chris; cisco; compaq; control; CREATIVE; data;
      databasepass; databasepassword; db1; db1234; db2; dbpass; dbpassword;
      dell; demo; DISC; domain; domainpass; domainpassword; eric; exchange;
      fred; fuck; george; god; hell; hello; home; homeuser; ian; ibm;
      internet; intranet; jen; joe; john; kate; katie; lan; lee; linux;
      login; loginpass; luke; mail; main; mary; MASTER; MICROSOFT; mike;
      neil; nokia; none; null; oem; oeminstall; oemuser; office; orainstall;
      outlook; pass; pass1234; passwd; password; password1; peter; pwd; qaz;
      qwe; qwer; qwerty; root; sam; SAMSUNG; server; SEX; sex; siemens;
      slut; SONY; sql; sqlpassoainstall; sue; susan; system; technical;
      test; unix; usar; user; web; win2000; win2k; win98; windows; winnt;
      winpass; winxp; www; zxc; zxcv



La vulnérabilité:
Il se sert des vulnérabilités suivantes:
– MS03-026 (Buffer Overrun in RPC Interface)
– MS03-039 (Buffer Overrun in RPCSS Service)
– MS03-049 (Buffer Overrun in the Workstation Service)
– MS04-007 (ASN.1 Vulnerability)
– MS04-011 (LSASS Vulnerability)


La création des adresses IP:
Il crée des adresses IP aléatoires et il essaye d'établir une connexion avec elles.


Le processus d'infection:
Crée un script TFTP ou FTP sur la machine compromise afin de télécharger le malware vers l'emplacement distant.

 IRC Afin de fournir des informations sur le système et un accès à distance, il se connecte au serveur IRC suivant:

Serveur: normal.**********main.com
Port: 6667
Canal: #x4
Pseudonyme: USA|%chaîne de caractères aléatoire de neuf digits%
Mot de passe: x4.



– Ce Malware a la capacité de ramasser et d'envoyer des informations tel que:
    • Capture d'écran
    • Capture de web caméra
    • Vitesse du CPU
    • Utilisateur courant
    • Espace libre sur le disque dur
    • Mémoire libre
    • Le temps de fonctionnement du Malware
    • Information sur le réseau
    • L'ID de la plateforme
    • Information sur des processus courants
    • Taille de mémoire
    • Répertoire de système
    • Nom d'utilisateur


– Ensuite il a la capacité d'opérer des actions tel que:
    • Lancer des attaques DDoS ICMP
    • Lancer des attaques DDoS SYN
    • Lance des attaques DDoS TCP
    • Lance des attaques DDoS UDP
    • Désactiver DCOM
    • Désactiver les partages réseau
    • Télécharger un fichier
    • Activer DCOM
    • Activer les partages réseau
    • Exécuter un fichier
    • Joindre le canal IRC
    • Finir le processus
    • Quitter la canal IRC
    • Ouvrir une ligne de commande à distance
    • Opérer un attaque DDoS
    • Scanner le réseau
    • Opérer la redirection d'un certain port
    • Redémarrer le système
    • Envoyer des e-mails
    • Commence le keylog
    • Démarrer une routine de propagation
    • Terminer le Malware
    • Se mettre à jour tout seul
    • Charger un fichier
    • Visiter un site web

 Vol d'informations Il essaie de voler l'information suivante:

– Les clés de CD suivantes:
   • Battlefield 1942; Battlefield 1942 (Road To Rome); Battlefield 1942
      (Secret Weapons of WWII); Battlefield Vietnam; Black and White;
      Chrome; Command and Conquer: Generals; Command and Conquer: Generals
      (Zero Hour); Command and Conquer: Red Alert; Command and Conquer: Red
      Alert 2; Command and Conquer: Tiberian Sun; Counter-Strike (Retail);
      FIFA 2002; FIFA 2003; Freedom Force; Global Operations; Gunman
      Chronicles; Half-Life; Hidden & Dangerous 2; IGI 2: Covert Strike;
      Industry Giant 2; James Bond 007: Nightfire; Legends of Might and
      Magic; Medal of Honor: Allied Assault; Medal of Honor: Allied Assault:
      Breakthrough; Medal of Honor: Allied Assault: Spearhead; Nascar Racing
      2002; Nascar Racing 2003; Need For Speed Hot Pursuit 2; Need For
      Speed: Underground; Neverwinter Nights; Neverwinter Nights (Hordes of
      the Underdark); Neverwinter Nights (Shadows of Undrentide); NHL 2002;
      NHL 2003; NOX; Rainbow Six III RavenShield; Shogun: Total War: Warlord
      Edition; Soldier of Fortune II - Double Helix; Soldiers Of Anarchy;
      The Gladiators; Unreal Tournament 2003; Unreal Tournament 2004

– Une routine de journalisation est commencé après que les chaînes de caractères suivantes soient tapées:
   • USER
   • PASS

– Il capture:
    • Frappes de touche

– Une routine de journalisation est commencée après qu'un site web soit visité, qui contient une des sous chaînes de caractères suivantes dans l'URL.
   • paypal
   • PAYPAL
   • paypal.com
   • PAYPAL.COM

– Il capture:
    • Frappes de touche
    • Information du compte

 Détails de fichier Langage de programmation:
 Le fichier a été écrit en MS Visual C++.


Logiciel de compression des fichiers exécutables:
Afin d'entraver la détection et de réduire la taille du fichier il est compressé avec un logiciel de compression des exécutables.

Description insérée par Iulia Diaconescu le lundi 3 octobre 2005
Description mise à jour par Iulia Diaconescu le lundi 3 octobre 2005

Retour . . . .