Nom: Worm/Rbot.78801 La date de la découverte: 21/11/2005 Type: Ver En circulation: Oui Infections signalées Faible Potentiel de distribution: Moyen Potentiel de destruction: Moyen Fichier statique: Oui Taille du fichier: 78.801 Octets Somme de contrôle MD5: ccba19642771eec3c7d67e4c461e335b Version VDF: 6.32.00.202
Général Méthode de propagation: • Le réseau local Les alias: • Sophos: W32/Rbot-Fam • Bitdefender: Backdoor.RBot.C7FA6C12 Plateformes / Systèmes d'exploitation: • Windows 95 • Windows 98 • Windows 98 SE • Windows NT • Windows ME • Windows 2000 • Windows XP • Windows 2003 Effets secondaires: • Il modifie des registres • Il emploie les vulnérabilités de software • Il vole de l'information • Il facilite l'accès non autorisé à l'ordinateur Fichiers Il s'autocopie dans l'emplacement suivant: • %SYSDIR% \Scvhost.exe Registre Les clés suivantes sont en permanence ajoutées aux registres, dans une boucle infinie, afin de lancer les processus après le redémarrage. – [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices] • "windows Personal Firewall"="Scvhost.exe" – [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] • "windows Personal Firewall"="Scvhost.exe" – [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] • "windows Personal Firewall"="Scvhost.exe" Les clés de registre suivantes sont changées: – [HKLM\SOFTWARE\Microsoft\Ole] L'ancienne valeur: • "EnableDCOM"=%réglages définis par l'utilisateur% La nouvelle valeur: • "EnableDCOM"="N" – [HKLM\SYSTEM\CurrentControlSet\Control\Lsa] L'ancienne valeur: • "restrictanonymous"=%réglages définis par l'utilisateur% La nouvelle valeur: • "restrictanonymous"=dword:00000001 Infection du réseau Afin de assurer sa propagation, le malware essaye de se connecter à d'autres machines comme décrit ci-dessous. Il s'autocopie dans les partages réseau suivants: • C$\windows\system32 • c$\winnt\system32 • IPC$ • ADMIN$ • IPC$ • C$ Il emploie les informations d'identification suivantes afin de gagner accès à la machine distante: – La liste suivante de noms d'utilisateurs: • intranet; lan; main; winpass; blank; office; control; nokia; siemens; compaq; dell; cisco; ibm; orainstall; sqlpassoainstall; sql; db1234; db1; databasepassword; data; databasepass; dbpassword; dbpass; access; domainpassword; domainpass; domain; hello; hell; god; sex; slut; bitch; fuck; exchange; backup; technical; loginpass; login; mary; katie; kate; george; eric; chris; ian; neil; lee; brian; susan; sue; sam; luke; peter; john; mike; bill; fred; joe; jen; bob; qwe; zxc; asd; qaz; win2000; winnt; winxp; win2k; win98; windows; oeminstall; oemuser; oem; user; homeuser; home; accounting; accounts; internet; www; web; outlook; mail – La liste suivante de mots de passe: • qwerty; null; server; system; changeme; linux; unix; demo; none; test; 2004; 2003; 2002; 2001; 2000; 1234567890; 123456789; 12345678; 1234567; 123456; 12345; 1234; 123; 007; pwd; pass; pass1234; passwd; password; password1; adm; db2; oracle; dba; database; default; guest; wwwadmin; teacher; student; owner; computer; staff; admins; administrat; administrateur; administrador; administrator La vulnérabilité: Il se sert des vulnérabilités suivantes: – MS03-026 (Buffer Overrun in RPC Interface) – MS04-011 (LSASS Vulnerability) Exécution à distance: –Il essaye de programmer une exécution à distance du malware, sur la machine nouvellement infectée. Par conséquent il emploie la fonction NetScheduleJobAdd. IRC Afin de fournir des informations sur le système et d'accès à distance, il se connecte aux serveurs IRC suivants: Serveur: **********.hacker.la Port: 8877 Le mot de passe du serveur: guy Canal: #LLiFee# Pseudonyme: USA|%chaîne de caractères aléatoire de six digits% Mot de passe: guy Serveur: **********.futurexirc.net Port: 8877 Le mot de passe du serveur: guy Canal: #LLiFee# Pseudonyme: USA|%chaîne de caractères aléatoire de six digits% Mot de passe: guy – Ce Malware a la capacité de ramasser et d'envoyer des informations tel que: • Capture d'écran • Capture de web caméra • Vitesse du CPU • Utilisateur courant • Espace libre sur le disque dur • Mémoire libre • Information sur des processus courants • Taille de mémoire • Nom d'utilisateur • Information sur le système d'exploitation Windows • Lancer des attaques DDoS ICMP • Lancer des attaques DDoS SYN • Lance des attaques DDoS TCP • Lance des attaques DDoS UDP • Désactiver les partages réseau • Télécharger un fichier • Éditer le registre • Activer les partages réseau • Exécuter un fichier • Joindre le canal IRC • Finir le processus • Quitter la canal IRC • Ouvrir une ligne de commande à distance • Opérer un attaque DDoS • Scanner le réseau • Opérer la redirection d'un certain port • Envoyer des e-mails • Commence le keylog • Terminer le Malware • Terminer un processus • Se mettre à jour tout seul • Charger un fichier • Visiter un site web Vol d'informations Il essaie de voler l'information suivante: – L'ID du produit Windows – Les clés de CD suivantes: • Neverwinter Nights (Hordes of the Underdark); Neverwinter Nights (Shadows of Undrentide); Neverwinter Nights; Soldier of Fortune II - Double Helix; Hidden & Dangerous 2; Chrome; NOX; Command and Conquer: Red Alert 2; Command and Conquer: Tiberian Sun; Rainbow Six III RavenShield; Nascar Racing 2003; Nascar Racing 2002; NHL 2003; NHL 2002; FIFA 2003; FIFA 2002; Need For Speed Hot Pursuit 2; Need For Speed: Underground; Medal of Honor: Allied Assault: Spearhead; Medal of Honor: Allied Assault: Breakthrough; Medal of Honor: Allied Assault; Global Operations; Command & Conquer Generals; James Bond 007: Nightfire; Command and Conquer: Generals (Zero Hour); Black and White; Battlefield Vietnam; Battlefield 1942 (Secret Weapons of WWII); Battlefield 1942 (Road To Rome); Battlefield 1942; Freedom Force; IGI 2: Covert Strike; Unreal Tournament 2004; Unreal Tournament 2003; Soldiers Of Anarchy; Legends of Might and Magic; Industry Giant 2; Half-Life; Gunman Chronicles; The Gladiators; Counter-Strike (Retail) – Une routine de journalisation est commencé après que les chaînes de caractères suivantes soient tapées: • PASS • USER • paypal • paypal.com – Il capture: • Fenêtre d'information Détails de fichier Logiciel de compression des fichiers exécutables: Pour entraver la détection et pour réduire la taille du fichier il est compressé avec le logiciel de compression des exécutables suivant: • PE Pack 1.0
Description insérée par Razvan Olteanu le mercredi 30 novembre 2005 Description mise à jour par Razvan Olteanu le vendredi 9 décembre 2005
Retour
.
.
.
.