Nom:Worm/Rbot.ccc
La date de la découverte:19/06/2007
Type:Ver
En circulation:Oui
Infections signalées Faible
Potentiel de distribution:Moyen
Potentiel de destruction:Moyen
Fichier statique:Oui
Taille du fichier:117.760 Octets
Somme de contrôle MD5:3979525ef7f0951a7d7f6ecd3b56e0e5
Version VDF:6.39.00.34 - mardi 19 juin 2007
Version IVDF:6.39.00.34 - mardi 19 juin 2007

 Général Méthode de propagation:
   • Le réseau local


Les alias:
   •  Kaspersky: Backdoor.Win32.Rbot.ccc
   •  Sophos: W32/Rbot-GRB
   •  VirusBuster: Worm.RBot.MPV
   •  Eset: Win32/Rbot
   •  Bitdefender: Backdoor.IRCBot.HAS


Plateformes / Systèmes d'exploitation:
   • Windows 96
   • Windows 99
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003


Effets secondaires:
   • Il enregistre les frappes de touche
   • Il modifie des registres
   • Il emploie les vulnérabilités de software
   • Il vole de l'information
   • Il facilite l'accès non autorisé à l'ordinateur

 Fichiers Il s'autocopie dans l'emplacement suivant:
   • %SYSDIR%\winup32.exe



Il supprime sa propre copie, exécutée initialement

 Registre Les clés de registre suivantes sont ajoutées afin d'exécuter des processus après le redémarrage:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "Windows Service Agent"="winup32.exe"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
   • "Windows Service Agent"="winup32.exe"

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "Windows Service Agent"="winup32.exe"

 Infection du réseau Afin de assurer sa propagation, le malware essaye de se connecter à d'autres machines comme décrit ci-dessous.

Il s'autocopie dans les partages réseau suivants:
   • IPC$
   • C$
   • D$
   • ADMIN$


Il emploie les informations d'identification suivantes afin de gagner accès à la machine distante:

– Une liste de noms d'utilisateurs et de mots de passe:
   • intranet; lan; main; winpass; blank; office; control; xp; nokia; hp;
      siemens; compaq; dell; cisco; ibm; orainstall; sqlpassoainstall; sql;
      sa; db1234; db1; databasepassword; data; databasepass; dbpassword;
      dbpass; access; domainpassword; domainpass; domain; hello; hell; god;
      sex; slut; bitch; fuck; exchange; backup; technical; loginpass; login;
      mary; katie; kate; george; eric; chris; ian; neil; lee; brian; susan;
      sue; sam; luke; peter; john; mike; bill; fred; joe; jen; bob; qwe;
      zxc; asd; qaz; win2000; winnt; winxp; win2k; win98; windows;
      oeminstall; oemuser; oem; user; homeuser; home; accounting; accounts;
      internet; www; web; outlook; mail; qwerty; null; server; system;
      changeme; linux; unix; demo; none; test; 2004; 2003; 2002; 2001; 2000;
      1234567890; 123456789; 12345678; 1234567; 123456; 12345; 1234; 123;
      12; 007; pwd; pass; pass1234; passwd; password; password1; adm; db2;
      oracle; dba; database; default; guest; wwwadmin; teacher; student;
      owner; computer; root; staff; admin; admins; administrat;
      administrateur; administrador; administrator; Zytowski; Zwiers; Zurn;
      Zucconi; Zoldak; Zerbini; Zegans; Zangwill; Zahedi; Zachary; Yu;
      Youk-See; Yoo; Yoffe; Yetiv; Yesson; Yedidia; Ybarra; Yates; Yarchuk;
      Yankee; Yamane; Yacono; Votey; Vorhaus; Woods-Powell; Woods; Wooden;
      Woo; VonHoffman; Wolk; Voigt; Viviani; Vitali; Wilson; Willstatter;
      Villarreal; Wilkinson; Wilkin; Wilk; Wilhelm; Wilder; Vignola; Viens;
      Wiener; Wiedersheim; Viano; Viana; Whittaker; Whitla; White; Whilton;
      Whately; Wetzel; Wescott; Verghese; Venne; Wengret; Welsh; Welles;
      Velasquez; Weissman; Weissbourd; Weinhaus; Weingarten; Weighart;
      Waugh; Vasquez; Wasowska; Warshafsky; Vanheeckeren; Vandenberg;
      VanZwet; vanAllen; Walter; Wallenberg; Wales; Valencia; Valberg;
      Waite; Vacca; Uzuner; Usdan; Urdang-Brown; Urban; Upsdell; Untermeyer;
      Ullman; Tzamarias; Twells; Tuttle; Turek; Turano; Tukan; Tudge; Tuck;
      Tsukurov; Tsomides; Tsiatis; Truss; Troy; Troiani; Tringali; Trewin;
      Trenga; Traebert; Toye; Towler; Torske; Torresi; Topulos; Toomer;
      Tomford; Tolman; Tolls; Tollestrup; Tofallis; Timmons; Till; Tierney;
      Throop; Thomsen; Thisted; Thibault; Theodos; Thavaneswaran; Than;
      Terracini; Tenney; Temmer; Temes; Teague; Tcherepnin; Tawn; Taveras;
      Tatar; Tanowitz; Tandler; Tambiah; Talaugon; Tai; Tagiuri; Swindle;
      Sweetser; Sweeting; Surdam; Suo; Sumner; Sullivan; Stringer; Streiff;
      Strauch; Strange; Stott; Storer; Stonich; Stolzenberg; Stockwell;
      Stockton; Stock; Stillwell; Stiepock; Stewart-Oaten; Stepniewska;
      Stephanian; Steiner; Stefani; Statlender; States; Stassinopolus;
      Stang; Stam; Stalvey; StMartin; Spinrad; Spiliotis; Spiegelhalter;
      Spicer; Sperber; Spence; Speizer; Spaulding; Sparrow; Spanier;
      Soultanian; Soule; Soukup; Sottak; Sorg; Sorabella; Sommariva; Somers;
      Solon; Socolow; Snodgrass; Sniffen; Smilow; Slowe; Sloan; Skoda;
      Skerry; Skane; Sites; Sirilli; Sinsabaugh; Silvetti; Silverman; Signa;
      Sigini; Sigalot; Siesto; Shimon; Shibata; Shia; Shesko; Shepstone;
      Sheppard; Shepherd; Sheats; Shea; Shavelson; Shatrov; Shar; Shanley;
      Shankland; Shakis; Shaikh; Seyfert; Sexton; Seterdahl; Sennett; Sen;
      Selvage; Sekler; Segal; Seeber; Seaton; Scudder; Scovel; Schwickrath;
      Schwan; Schuyler; Schutte; Schuman; Schossberger; Schmitt; Schilling;
      Schifini; Schiano; Scheiner; Scharlemann; Scharf; Scepan; Scarponi;
      Sayied; Sawtell; Satterthwaite; Satta; Satin; Sase; Sartore; Sarin;
      Sapers; Sanna; Sanchez-Ramirez; Samson; Sali; Sahu; Safire; Sadler;
      Sabatello; Ryu; Rush; Ruescher; Ruderman; Ruan; Ru; Royal; Row; Ronen;
      Rogers; Roesler; Rocha; Robinson; Rivera; Rish; Rineer; Rindos;
      Rielly; Richmond; Rhea; Resnik; Repetto; Renick; Remak; Reinold;
      Cunningham; Reedquist; Redden-Tyler; Rayport; Rapple; Rankin; Rangan;
      Raney; Rajagopalan; Radeke; Rabkin; Rabe; Quetin; Quaday; Pynchon;
      Pugh; Puccia; Prothrow-Stith; Proietti; Pritz; Pritchard; Prevost;
      Preucel; Presper; Powers; Poolman; Poma; Politis; Polanyi; Polak;
      Poirier; Pointer; Poincaire; Pocobene; Po; Plous; Plasket; Plant;
      Plancon; Pinot; Pilbeam; Pfister; Pettit; Pettibone; Petruzello;
      Peters; Perrimon; Perone; Perna; Perlman; Perlak; Perko; Pereira;
      Penny; Peishel; Pederson; Pearlberg; Peabody; Paynter; Pawloski;
      Pavlon; Pavetti; Pattullo; Patrick; Patefield; Pascucci; Partridge;
      Parris; Parmeggiani; Paoletti; Pantilla; Panizzon; Panadero;
      Palmitesta; Pallara; Palepu; Palayoor; Paine; PaesDealmeida; Ovid;
      Ouchida; Otten; Ottaviani; Ostrowski; Ospina; Orsi; Orfield; Oray;
      Opel; O'meara; Oman; O'malley; Olszewski; Olson; Olsen; Oldford;
      O'hagan; Oh; Ogata; Ocougne; Nuzum; Notman; Nitabach; Nisenson;
      Nickoloff; Nickerson; Ni; Ng; Newlin; Newfeld; Neuman; Nesci; Nenna;
      Nelson; Nayduch; Naviaux; Nardone; Nardi; Napolitano; Naddeo;
      Mussachio; Mumford; Mulroy; Mulkern; Mugnai; Muello; Mudarri; Motooka;
      Mostafavi; Mosler; Mosher; Mortimer; Morrow; Morrison; Moreton;
      Morani; MooreDeCh.; Montilio; Monque; Moiamedi; Mohr; Moeller;
      Modestino; Mocroft; Mittal; Mitropoulos; Gonzalez; Minichiello; Mini;
      Minh; Mills; Mieher; Middle; Michelman; Meurer; Metropolis; Metelka;
      Merz; Merseth; Merminod; Merlani; Merikoski; Menzies; Memisoglu;
      Meccariello; Mcnulty; Mcnealy; Mclaren; Mclane; Mckenna; Mcintosh;
      McIlroy; Mcgoldrick; Mcghee; McFadden; Mcelroy; Mcdowell; Mcclearn;
      Mccall; Mccaffery; Mcbride; Mazziotta; Mazzali; May; Mauzy; Mattson;
      Matsukata; Matarazzo; Matalka; Mass; Marubini; Marton; Martochio;
      Martinez; Marques; Margetts; Margalit; Marcus; Marchbanks; March;
      Mantovan; Manganiello; Mandel; Manalis; Malova; Maller; Malatesta;
      Maisano; Maine-Hershey; Maier; Mahony; Maggio; Madigan; Macy;
      MacMillan; Mackenney; Macintyre; Maceachern; Macdonald; Maccormac; Ma;
      Luzader; Lutcavage; Lussier; Luoma; Lunetta; Luecke; Luczkow; Luciano;
      Lucas; Lubin; Loza; Lowenstein; Loveman; Loss; Longworth; Locatelli;
      Lizardo; Livolsi; Livi; Livernash; Litvak; Little; Lipponen; Lippmann;
      Linzee; Linehan; Line; Linder; Linda; Linares; Lim; Lightfoot; Light;
      Liem; Lidano; Liakos; Lessi; Lesser; l'Enclos; Lenard; Leite;
      Leclercq; Lecce; Lecar; Lawless; Lashley; Laserna; Lanzit; Lantieri;
      Lankes; Landes; Lallemant; Laing; Lafler; Labunka; La; Kuwabara;
      Kusman; Kumar; Kuenzli; Krysiak; Kroemer; Kraus; Krasney; Krailo;
      Kraemer; Kovaks; Kotter; Korzybski; Kool; Konrad; Koniaris; Kommer;
      Koivumaki; Kohn; Koch; Kobrick; Knuff; Klint; Klinkenborg; Kling;
      Klemperer; Kleinfelder; Kleiman; Kleckner; Kittridge; Kirscht;
      Kippenberger; Kinsley; Kindall; Kimura; Kimmett; Kimmel; Khong; Keul;
      Kerry; Kendall; Kemsley; Kempton; Kelsey; Kelker; Keith; Keepper;
      Keenan; Kee; Kawachi; Kasten; Kassower; Karpouzes; Kangis; Kamel;
      Kalman; Kalinowski; Kalil; Kaligian; Kalbfleisch; Kafadar; Kaboolian;
      Kabbash; Julious; Juliano; Jucks; Jorgensen; Jolly; Johns; Johannsen;
      Johannesson; Jewett; Jespersen; Jenkins; Jellis; Jeffers; Jay;
      Jarrell; Jarnagin; Janjigian; Jamil; Jain; Jagoe; Jagger; Jagers;
      Jackson; Jacenko; Iyer; Isserman; Isbill; Isaievych; Isaac; Inniss;
      Inamura; Igarashi; Ichikawa; Iaquinta; Hyde; Hutchings; Hurtubise;
      Hupp; Huntington; Hungerford; Huidekoper; Huey; Hoy; Howard; Hottle;
      Hostage; Hoshida; Horsley; Hopkins; Hooker; Holzman; Holway; Holter;
      Holoien; Holmes; Hokoda; Hokanson; Hoffman; Hoffer; Hock; Hoang;
      Hitchcock; Hirst; Hind; Himmelfarb; Heyeck; Heubert; Hester; Herrera;
      Hernandez; Henrichs; Henery; Hemphill; Helprin; Hellmiss; Hellman;
      Heiland; Heft; Heermans; Hazlewood; Haynes; Hayes; Hawkes; Haviaras;
      Harwell; Hartnett; Hartmann; Hartman; Harrigan; Harlow; Hargraves;
      Harding; Hanssen; Hand; Hammerness; Hamer; Hambarzumjan; Halpert;
      Hallowell; Halkias; Haley; Hackshaw; Hackman; Haar; Ha; Guo; Gunn;
      Guenthart; Gruppe; Gruner; Grummell; Grigoletto; Griffiths; Greenfeld;
      Greenberg; Gravell; Gozzi; Goody; Goodearl; Good; Goncalves; Goldfarb;
      Glendon; Glegg; Gleason; Gist; Gillispie; Gill; Gili; Gilbert; Gibson;
      Gibbens; Ghorai; Gerrett; Georgi; Gemberling; Geller; Garonna; Garman;
      Garfield; Gambini; Galwey; Galeotti; Gaggiotti; Gabrielli; Fusaro;
      Furth; Fuller; Fujii-Abe; Frye; Fryberger; Frowiss; Frisken;
      Friedland; Fried; Freundlich; Freid; Frazier-Davis; Franz;
      Franklin-Kenea; Francisco; Fossi; Fossey; Fortier; Fortes; Forester;
      Folks; Flores; Flier; Fitzmaurice; Fisk; Fiorina; Finnegan;
      Finkelstein; Fink; Field; Fido; Feuer; Ferriell; Ferrante; Fernandes;
      Fernald; Feldman; Fejzo; Feigenbaum; Fates; Fasso'; Farren; Farone;
      Faris; Falorsi; Falco-Acosta; Faioes; Fagan; Fabbris; Everett;
      Euripides; Etter; Estes; Espinoza; Erez; Erdos; Erdman; Erbach;
      Eppling; Enyeart; Encinas; Elvis; Elmerick; Elmendorf; Eliasson;
      Eickenhorst; Edward; Edner; Edley; Eckel; Ebeling; Eardley; Dwyer;
      Dussault; Durrett; Duffin; D'souza; Drinker; Dowsland; Doug; Doty;
      Dosi; Dorf; Dore; Doonan; Donner; Donahue; Doherty; Dockery; Dirksen;
      Dionysius; Dilworth; Difronzo; Difabio; Diefenbach; Dicks; D'fini;
      Deutsch; Desombre; Denison; Denham; Denault; Demusz; Dempster; Deming;
      Dell'acqua; Delger; Deleon-Rendon; Delattre; Defeciani; Dees; Debroff;
      deRousse; del'Enclos; DeLaPena; DeGennaro; Dawkins; David; Daskalu;
      Dasgupta; Das; D'arcangelo; Dapice; Dante; Danieli; D'Ambra; Daly;
      Daldalian; daSilva; Cyders; Cvek; Cutler; Currier; Cui; Croxton;
      Croxen; Croshaw; Crocker; Crawford; Coutaux; Counter; Cosmides;
      Cornish; Corey; Connors; Condodina; Concino; Comstock; Compton;
      Collis; Collard; Colella; Coldren; Coito; Coblenz; Clow; Clifton;
      Clement; Clark; Clancy; Claffey; Cifarelli; Cicero; Ciampaglia;
      Church; Chupasko; Chu; Christopher; Christie; Christiano; Christian;
      Christenson; Chinman; Chinipardaz; Childs; Childress; Chien;
      Chiassino; Chervinsky; Cherry; Cheang; Charles; Chapman; Cerioli;
      Ceniceros; Cavell; Cavanagh; Castelda; Caspar; Case; Cascio; Cartmill;
      Carper; Caroti; Carmichael; Carlyle; Carlos; Carlin; Carayannopoulos;
      Caratozzolo; Capursi; Cappuccio; Capodilupo; Capocaccia; Caperton;
      Capanni; Canley; Cammilleri; Cammelli; Calnan; Cage; Byrd; Byerly;
      Byatt; Busetta; Burridge; Burke; Burdzy; Burden; Bunton; Bullard;
      Budding; Buchan; Brzycki; Brook; Broca; Britz; Brinton; Bridges;
      Bridgeman; Brewer; Brennan; Brenan; Breed; Brecht; Bradach; Bradac;
      Bracalente; Boyne; Boym; Boyland; Boyes; Boyajian; Boxer; Bowers;
      Bourneuf; Boudrot; Boudin; Botosh; Bothman; Bossi; Borden; Borack;
      Boorstin; Boone; Bookbinder; Book; Bontempo; Boniface; Bonham; Boner;
      Bologna; Bollinger; Bolick; Bolger; Blyth; Bloxham; Bloemhof;
      Bloembergen; Bloch; Blizard; Bliss; Blanke; Blakemore; Blagg;
      Blackwell; Blackbourn; Bisho; Bisema; Bir; Binion; Bickel; Biagioli;
      Beynart; Betti; Berrizbeitia; Bernston; Bernassola; Bernardo;
      Berke-Jenkins; Bergson; Benedict-Dye; Belloc; Bellini; Bellhouse;
      Bellavance; Belin-Collart; Belfer; Belaoussof; Belanger; Behenna;
      Bedford; Beder; Beckman; Bean; Beal; Beacon; Bayo; Bayles; Baumiller;
      Batchelder; Bashevis; Basavappa; Bartoo; Bartolome; Bartholomew;
      Barry; Barriola; Barnett; Barneson; Barbetti; Barberi; Baranowska;
      Baranczak; Barajas; Barabesi; Banta; Baltz; Ballew; Ballatori; Baleja;
      Bakanowsky; Bailar; Bagnold; Baglivo; Bady; Backus; Bachmuth; Azima;
      Ayling; Aykroyd; Ayiemba; Axworthy; Axelrod; Aurelius; Augustus;
      Atkins; Arky; Arjas; Aristotle; Arellano; Arduini; Arbia; Antos;
      Anthony; Ansley; Anfinrud; Andron; Andrelus; Ando; Andel; Anand;
      Amsden; Ameer; Amatangelo; Amaral; Altenhofen; Altenberger; Altavilla;
      Alongi; Allison; Aleks; Alda; Alcorn; Alavi; Ahlers; Adorno; Adibe;
      Adelstein; Addison; Adams; Ackerman; Abdulrazak



La vulnérabilité:
Il se sert des vulnérabilités suivantes:
– MS03-026 (Buffer Overrun in RPC Interface)
– MS03-039 (Buffer Overrun in RPCSS Service)
– MS04-007 (ASN.1 Vulnerability)
– MS05-039 (Vulnerability in Plug and Play)
– MS06-040 (Vulnérabilité dans Service de Serveur)


La création des adresses IP:
Il crée des adresses IP aléatoires et il essaye d'établir une connexion avec elles.


Le processus d'infection:
Crée un script TFTP ou FTP sur la machine compromise afin de télécharger le malware vers l'emplacement distant.


Exécution à distance:
–Il essaye de programmer une exécution à distance du malware, sur la machine nouvellement infectée. Par conséquent il emploie la fonction NetScheduleJobAdd.

 IRC Afin de fournir des informations sur le système et un accès à distance, il se connecte au serveur IRC suivant:

Serveur: v.ircdevils.**********
Port: 5900
Le mot de passe du serveur: VrX
Canal: #VrX4#
Pseudonyme: USA|XP|SP0|00|%chaîne de caractères aléatoire de cinq digits%
Mot de passe: VrX



– Ce Malware a la capacité de ramasser et d'envoyer des informations tel que:
    • Les adresses email recueillies
    • Vitesse du CPU
    • Utilisateur courant
    • Détails sur les pilots
    • Espace libre sur le disque dur
    • Mémoire libre
    • Le temps de fonctionnement du Malware
    • Information sur le réseau
    • Information sur des processus courants
    • Taille de mémoire
    • Nom d'utilisateur
    • Information sur le système d'exploitation Windows


– Ensuite il a la capacité d'opérer des actions tel que:
    • se connecter au serveur IRC
    • Lancer des attaques DDoS ICMP
    • Lancer des attaques DDoS SYN
    • Lance des attaques DDoS TCP
    • Lance des attaques DDoS UDP
    • Désactiver DCOM
    • Désactiver les partages réseau
    • se déconnecter du serveur IRC
    • Télécharger un fichier
    • Activer DCOM
    • Activer les partages réseau
    • Exécuter un fichier
    • Joindre le canal IRC
    • Finir le processus
    • Quitter la canal IRC
    • Ouvrir une ligne de commande à distance
    • Opérer un attaque DDoS
    • Scanner le réseau
    • Opérer la redirection d'un certain port
    • Envoyer des e-mails
    • Se mettre à jour tout seul
    • Charger un fichier
    • Visiter un site web

 Arrêt de processus: La liste des processus qui sont terminés:
   • i11r54n4.exe; irun4.exe; d3dupdate.exe; rate.exe; ssate.exe;
      winsys.exe; winupd.exe; SysMonXP.exe; bbeagle.exe; teekids.exe;
      MSBLAST.exe; mscvb32.exe; sysinfo.exe; PandaAVEngine.exe;
      wincfg32.exe; taskmon.exe; zonealarm.exe; navapw32.exe; navw32.exe;
      zapro.exe; msblast.exe; netstat.exe; msconfig.exe; regedit.exe


 Vol d'informations Il essaie de voler l'information suivante:

– il emploie un analyseur de réseau qui vérifie la chaîne de caractères suivante :
   • :.login; :,login; :!login; :@login; :$login; :%login; :^login;
      :*login; :-login; :+login; :/login; :\login; :=login; :?login;
      :'login; :`login; :~login; : login; :.auth; :,auth; :!auth; :@auth;
      :$auth; :%auth; :^auth; :&auth; :*auth; :-auth; :+auth; :/auth;
      :\auth; :=auth; :?auth; :'auth; :`auth; :~auth; : auth; :.id; :,id;
      :!id; :@id; :$id; :%id; :^id; :&id; :*id; :-id; :+id; :/id; :\id;
      :=id; :?id; :'id; :`id; :~id; : id; :.hashin; :!hashin; :$hashin;
      :%hashin; :.secure; :!secure; :.l; :!l; :$l; :%l; :.x; :!x; :$x; :%x;
      :.syn; :!syn; :$syn; :%syn; :!ident; :.ident

– Une routine de journalisation est commencé après que la chaîne de caractères suivante soit tapée:
   • paypal

– Il capture:
    • Frappes de touche

– Une routine de journalisation est commencé après qu'un site web soit visité.
   • paypal.com

– Il capture:
    • Trafic Internet
    • Information du compte

 Informations divers Mutex:
Il crée le Mutex suivant:
   • 11125

 Détails de fichier Langage de programmation:
 Le fichier a été écrit en MS Visual C++.


Logiciel de compression des fichiers exécutables:
Afin d'entraver la détection et de réduire la taille du fichier il est compressé avec un logiciel de compression des exécutables.

Description insérée par Ana Maria Niculescu le mercredi 28 novembre 2007
Description mise à jour par Ana Maria Niculescu le mercredi 28 novembre 2007

Retour . . . .