BDS/Nanspy.C - Backdoor Server

A voir aussi

Brève description

Description complète

Statistiques

Nom:	BDS/Nanspy.C
La date de la découverte:	07/10/2005
Type:	Cheval de Troie
En circulation:	Non
Infections signalées	Faible
Potentiel de distribution:	Faible
Potentiel de destruction:	Moyen
Fichier statique:	Oui
Taille du fichier:	216.128 Octets
Somme de contrôle MD5:	9C3D95E9D5C6DB594174C48AF2E3CFC0
Version VDF:	6.32.0.67

Général Méthode de propagation:
   • Il ne possède pas de propre routine de propagation

L'alias:
   • Kaspersky: Backdoor.Win32.Nanspy.c

Plateformes / Systèmes d'exploitation:
   • Windows 96
   • Windows 99
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effets secondaires:
   • Il bloque l'accès aux sites web de sécurité
   • Il enregistre les frappes de touche
   • Il modifie des registres
   • Il vole de l'information
   • Il facilite l'accès non autorisé à l'ordinateur

Fichiers Il s'autocopie dans l'emplacement suivant:
   • %SYSDIR%\spools.exe

Les fichiers suivants sont créés:

– Des fichiers qui peuvent être supprimés après:
   • %SYSDIR%\xffq.ssq
   • %SYSDIR%\ddq32.ssq
   • %SYSDIR%\ch1.ssq
   • %SYSDIR%\ch2.ssq
   • %SYSDIR%\ch3.ssq
   • %SYSDIR%\ch4.ssq
   • %SYSDIR%\xiecache.ssq

– %SYSDIR%\xbccd.log Contient un ID unique de l'ordinateur infecté.
– %SYSDIR%\xffq.ssq Ce fichier contient des frappes de touche collectés.
– %SYSDIR%\ddq32.ssq Ce fichier contient des frappes de touche collectés.
– %SYSDIR%\ch1.ssq Ce fichier contient des frappes de touche collectés.
– %SYSDIR%\ch2.ssq Ce fichier contient des frappes de touche collectés.
– %SYSDIR%\ch3.ssq Ce fichier contient des frappes de touche collectés.
– %SYSDIR%\ch4.ssq Ce fichier contient des frappes de touche collectés.
– %SYSDIR%\xiecache.ssq Ce fichier contient des frappes de touche collectés.

Registre La clé de registre suivante est ajoutée afin de lancer le processus après le redémarrage:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
• "Spools Service Controller"="%SYSDIR%\spools.exe"

La valeur de la clé de registre suivante est supprimée:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
• spools.exe

Hôtes Le fichier hôte est modifié, comme il est expliqué:

– Dans ce cas les entrées déjà existantes ne sont pas modifiées.

– L'accès aux liens URL suivants est redirigé vers d'autres destinations :
   • d-ru-1f.kaspersky-labs.com
   • d-ru-1h.kaspersky-labs.com
   • d-ru-2f.kaspersky-labs.com
   • d-ru-2h.kaspersky-labs.com
   • d-eu-2f.kaspersky-labs.com
   • d-eu-2h.kaspersky-labs.com
   • d-eu-1f.kaspersky-labs.com
   • d-eu-1h.kaspersky-labs.com
   • d-us-1f.kaspersky-labs.com
   • d-us-1h.kaspersky-labs.com
   • downloads1.kaspersky.ru
   • downloads2.kaspersky.ru
   • downloads3.kaspersky.ru
   • downloads4.kaspersky.ru
   • downloads5.kaspersky.ru
   • www.kaspersky.ru
   • kaspersky.ru
   • kaspersky-labs.com
   • www.kaspersky-labs.com

Le fichier hôte modifié ressemblera à ceci:

Porte dérobée Les ports suivants sont ouverts:

– %SYSDIR%\spools.exe sur un port TCP aléatoire afin de fournir un serveur HTTP
– %SYSDIR%\spools.exe afin de fonctionner comme serveur proxy Sock 4.

Serveur de contact:
Un des suivants::
   • http://66.235.160.**********/slogdrx.php
   • http://66.235.160.**********/slogch1.php
   • http://66.235.160.**********/slogch2.php
   • http://66.235.160.**********/slogch3.php
   • http://66.235.160.**********/slogch4.php
   • http://66.235.160.**********/slogcx.php
   • http://66.235.160.**********/logwmgx.php

Le suivant:
   • http://66.235.160.**********/wad/init2.txt

En conséquence il peut envoyer de l'information et fournir d'accès à distance. Ceci est fait par l'intermédiaire des méthodes PHP, HTTP GET et POST

Il envoie de l'information au sujet de:
    • Nom de l'ordinateur
    • Crée de fichiers de journalisation.
    • Utilisateur courant
    • L'adresse IP:
    • Information sur des processus courants
    • Nom d'utilisateur
    • Information sur le système d'exploitation Windows

Capacités d'accès à distance:
    • Supprime le fichier
    • Télécharger un fichier
    • Exécuter un fichier
    • Finir le processus
    • Opérer un attaque DDoS
    • Redémarrer le système
    • Terminer un processus

Vol d'informations Il essaie de voler l'information suivante:

– Une routine de journalisation est commencé après qu'un des sites web suivants soit visité:
   • www.e-gold.com; www.wamu.com; www.bankone.com; www.bankofamerica.com;
      tcfbank.com; adelaidebank.com.au; anz.com.au; cu.net.au; boq.com.au;
      bankwest.com.au; bendigobank.com.au; commbank.com.au; hsbc.com.au;
      ibisworld.com.au; macquarie.com.au; national.com.au; suncorp.com.au;
      stgeorge.com.au; online.westpac.com.au; nationalbank.co.nz;
      rbnz.govt.nz; bnz.co.nz; asbbank.co.nz; westpac.co.nz; kiwibank.co.nz;
      macquarie.com; anz.com; nabgroup.com; bankombudsman.org.nz

– Il capture:
    • Fenêtre d'information
    • Information du compte

Détails de fichier Langage de programmation:
Le fichier a été écrit en Delphi.

Logiciel de compression des fichiers exécutables:
Pour entraver la détection et pour réduire la taille du fichier il est compressé avec le logiciel de compression des exécutables suivant:
• UPX

Voir la description brève ici.

Description inséré par Andrei Gherman sur Mon, 10 Oct 2005 09:47 (GMT+1)
Description mise à jour par Andrei Gherman sur Thu, 13 Oct 2005 15:10 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back