Worm/Sdbot.80896 - Worm

A voir aussi

Brève description

Description complète

Statistiques

Nom:	Worm/Sdbot.80896
La date de la découverte:	26/08/2005
Type:	Ver
En circulation:	Non
Infections signalées	Faible
Potentiel de distribution:	Moyen
Potentiel de destruction:	Moyen
Fichier statique:	Oui
Taille du fichier:	80.896 Octets
Somme de contrôle MD5:	8e3d9a00158895be246046568332045a
Version VDF:	6.31.1.158

Général Méthode de propagation:
   • Le réseau local

Les alias:
   • Symantec: W32.Spybot.Worm
   • Kaspersky: Trojan.Win32.Crypt.d
   • TrendMicro: WORM_SDBOT.CBS
   • VirusBuster: Worm.SdBot.BEH
   • Eset: Win32/Rbot

Plateformes / Systèmes d'exploitation:
   • Windows 96
   • Windows 99
   • Windows 98 SE
   • Windows 2000
   • Windows XP

Effets secondaires:
   • Il diminue les réglages de sécurité
   • Il modifie des registres
   • Il emploie les vulnérabilités de software
   • Il vole de l'information
   • Il facilite l'accès non autorisé à l'ordinateur

Registre Les clés de registre suivantes sont ajoutées afin d'exécuter des processus après le redémarrage:

– HKLM\Software\Microsoft\Windows\CurrentVersion\Run
   • "li start up"="%le fichier exécuté%"

– HKCU\Software\Microsoft\Windows\CurrentVersion\Run
   • "li start up"="%le fichier exécuté%"

Les clés de registre suivantes sont ajoutées afin de charger les services après le redémarrage:

– HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
   • "li start up"="%le fichier exécuté%"

– HKCU\Software\Microsoft\Windows\CurrentVersion\RunServices
   • "li start up"="%le fichier exécuté%

Les clés de registre suivantes sont ajoutée:

– HKLM\Software\Microsoft\OLE
   • "li start up"="%le fichier exécuté%"

– HKLM\SYSTEM\CurrentControlSet\Control\Lsa
   • "li start up"="%le fichier exécuté%"

– HKCU\Software\Microsoft\OLE
   • "li start up"="%le fichier exécuté%"

– HKCU\SYSTEM\CurrentControlSet\Control\Lsa
   • "li start up"="%le fichier exécuté%"

La clé de registre suivante est changée:

– HKLM\Software\Microsoft\OLE
   L'ancienne valeur:
   • "EnableDCOM"="%réglages définis par l'utilisateur%"
   La nouvelle valeur:
   • "EnableDCOM"="Y"

Infection du réseau Afin de assurer sa propagation, le malware essaye de se connecter à d'autres machines comme décrit ci-dessous.

Il s'autocopie dans les partages réseau suivants:
   • "ipc$"
   • "print$"
   • "admin$"
   • "Admin$"

Il emploie les informations d'identification suivantes afin de gagner accès à la machine distante:

–Les noms d'utilisateurs et les mots de passe en antémémoire.

– La liste suivante de noms d'utilisateurs:
   • Admin; Administrador; administrador; administrat; Administrateur;
      Administrator; Coordinatore; Guest; main; master; owner; root; server;
      student; supervisor; system; teacher; user; windows

– La liste suivante de mots de passe:
   • 7; 123; 777; 2600; abc; access; computer; Login; oem; oeminstall;
      OWNER; pass; password; pwd; qwerty; superuser; win2000; win2k; winnt;
      winxp; xxx

La vulnérabilité:
Il se sert de la vulnérabilité suivante:
– MS04-011 (LSASS Vulnerability)

La création des adresses IP:
Il crée des adresses IP aléatoires tandis qu'il garde les deux premiers octets de sa propre adresse. Après il essaye d'établir une connexion avec les adresses créées.

Le processus d'infection:
Il crée un script FTP sur la machine compromise afin de télécharger le malware vers l'emplacement distant.

Ralentissement de connexion:
– Selon la largeur de votre bande passante, il est possible d'avoir une baisse de votre vitesse de réseau. Car comme l'activité réseau de ce malware est moyen il est possible qu'il ne soit pas détecter si vous avez une connexion à haut débit.
– Il est également possible de remarquer un léger ralentissement du système dû aux multiples fils d'exécution créés en réseau.

IRC Afin de fournir des informations sur le système et un accès à distance, il se connecte au serveur IRC suivant:

Serveur: 83.133.125.**********
Port: 24300
Canal: #fftp
Pseudonyme: [XP]|%random characters%
Mot de passe: abcnet

– Ce Malware a la capacité de ramasser et d'envoyer des informations tel que:
    • Vitesse du CPU
    • Utilisateur courant
    • Espace libre sur le disque dur
    • Mémoire libre
    • Le temps de fonctionnement du Malware
    • Information sur le réseau
    • Information sur des processus courants
    • Taille de mémoire
    • Répertoire de système
    • Nom d'utilisateur

– Ensuite il a la capacité d'opérer des actions tel que:
    • se connecter au serveur IRC
    • se déconnecter du serveur IRC
    • Télécharger un fichier
    • Éditer le registre
    • Activer DCOM
    • Exécuter un fichier
    • Joindre le canal IRC
    • Finir le processus
    • Ouvrir une ligne de commande à distance
    • Opérer un attaque DDoS
    • Scanner le réseau
    • Arrêter le système
    • Démarrer une routine de propagation
    • Terminer un processus
    • Se mettre à jour tout seul

Hôtes Le fichier hôte est modifié, comme il est expliqué:

– Dans ce cas les entrées existantes sont écrasées

– L'accès aux liens URL suivants est redirigé vers d'autres destinations :
   • avp.com; ca.com; customer.symantec.com; dispatch.mcafee.com;
      download.mcafee.com; f-secure.com; kaspersky.com; kaspersky-labs.com;
      liveupdate.symantec.com; liveupdate.symantecliveupdate.com;
      mast.mcafee.com; mcafee.com; my-etrust.com; nai.com;
      networkassociates.com; rads.mcafee.com; secure.nai.com;
      securityresponse.symantec.com; sophos.com; symantec.com;
      trendmicro.com; update.symantec.com; updates.symantec.com;
      us.mcafee.com; viruslist.com; www.avp.com; www.ca.com;
      www.f-secure.com; www.grisoft.com; www.jayloden.com;
      www.kaspersky.com; www.mcafee.com; www.my-etrust.com; www.nai.com;
      www.networkassociates.com; www.sophos.com; www.symantec.com;
      www.trendmicro.com; www.viruslist.com

Détails de fichier Langage de programmation:
Le fichier a été écrit en MS Visual C++.

Voir la description brève ici.

Description inséré par Irina Boldea sur Fri, 26 Aug 2005 18:43 (GMT+1)
Description mise à jour par Irina Boldea sur Tue, 30 Aug 2005 17:02 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Retour