Worm/SdBot.abf.4 - Worm

A voir aussi

Brève description

Description complète

Statistiques

Nom:	Worm/SdBot.abf.4
La date de la découverte:	12/09/2005
Type:	Ver
En circulation:	Non
Infections signalées	Faible
Potentiel de distribution:	Moyen
Potentiel de destruction:	Moyen
Fichier statique:	Oui
Taille du fichier:	36.747 Octets
Somme de contrôle MD5:	e07040eb929d55f766a27501a96524a1
Version VDF:	6.32.0.7

Général Méthode de propagation:
   • Le réseau local

L'alias:
   • VirusBuster: Worm.SdBot.BGQ

Plateformes / Systèmes d'exploitation:
   • Windows 96
   • Windows 99
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effets secondaires:
   • Il crée un fichier malveillant
   • Il modifie des registres
   • Il emploie les vulnérabilités de software
   • Il vole de l'information
   • Il facilite l'accès non autorisé à l'ordinateur

Fichiers Il s'autocopie dans l'emplacement suivant:
• %SYSDIR%\T%chaîne de caractères aléatoire de cinq digits%.exe

Registre La clé de registre suivante est ajoutée afin de lancer le processus après le redémarrage:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
• "Jxmnefer"="%SYSDIR%\T%chaîne de caractères aléatoire de cinq digits%.exe"

Infection du réseau Afin de assurer sa propagation, le malware essaye de se connecter à d'autres machines comme décrit ci-dessous.

Il s'autocopie dans les partages réseau suivants:
   • ADMIN$\system32\
   • C$\winnt\system32\
   • IPC$\
   • C$\shared\
   • C$\
   • C$\Documents and Settings\All Users\Documents\
   • C$\windows\system32\

Il emploie les informations d'identification suivantes afin de gagner accès à la machine distante:

– La liste suivante de noms d'utilisateurs:
   • "administrator"
   • "administrateur"
   • "administrador"
   • "admin"

– La liste suivante de mots de passe:
   • "passwd"; "pass"; "pwd"; "pass1234"; "zxc123"; "qweasd"; "qazwsx";
      "qwe123"; "123qwe"; "123qaz"; "zxcvbnm"; "qweasdzxc"; "666"; "ctx";
      "nokia"; "lan"; "internet"; "freddy"; "glen"; "turnip"; "afro";
      "user1"; "student"; "student1"; "teacher"; "staff"; "intranet";
      "bill"; "fred"; "freddy"; "glen"; "billgates"; "billgate"; "fuckyou";
      "motdepass"; "zaq123"; "zaqxsw"; "123qwe123"; "201"; "202"; "203";
      "204"; "205"; "206"; "207"; "209"; "210"; "211"; "212"; "213"; "214";
      "216"; "217"; "218"; "219"; "220"; "221"; "222"

La vulnérabilité:
Il se sert de la vulnérabilité suivante:
– MS04-011 (LSASS Vulnerability)

La création des adresses IP:
Il crée des adresses IP aléatoires et il essaye d'établir une connexion avec elles.

IRC Afin de fournir des informations sur le système et un accès à distance, il se connecte au serveur IRC suivant:

Serveur: get.**********.info
Port: 5540
Canal: #ven
Pseudonyme: T%chaîne de caractères aléatoire de cinq digits%

– Ensuite il a la capacité d'opérer des actions tel que:
    • se connecter au serveur IRC
    • se déconnecter du serveur IRC
    • Joindre le canal IRC
    • Quitter la canal IRC
    • Scanner le réseau
    • Démarrer une routine de propagation

Vol d'informations Il essaie de voler l'information suivante:

– La clé de CD suivante:
• Battlefield 2

Détails de fichier Langage de programmation:
Le fichier a été écrit en MS Visual C++.
Pour entraver la détection et pour réduire la taille du fichier il est compressé avec le logiciel de compression des exécutables suivant:
• MEW 11

Voir la description brève ici.

Description inséré par Catalin Jora sur Mon, 12 Sep 2005 16:10 (GMT+1)
Description mise à jour par Catalin Jora sur Wed, 14 Sep 2005 12:38 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Retour