BDS/Jtram.E - Backdoor Server

A voir aussi

Brève description

Description complète

Statistiques

Nom:	BDS/Jtram.E
La date de la découverte:	08/12/2005
Type:	Serveur porte dérobée
En circulation:	Oui
Infections signalées	Faible
Potentiel de distribution:	Faible
Potentiel de destruction:	Moyen
Fichier statique:	Oui
Taille du fichier:	62.464 Octets
Somme de contrôle MD5:	46E5CBF6377AE68557243414A28F7F11
Version VDF:	6.32.01.09

Fichiers Il s'autocopie dans l'emplacement suivant:
• %SYSDIR%\mfm\msrll.exe

Le fichier suivant est créé:

– Fichier inoffensif:
• %SYSDIR%\mfm\jtrma.conf

Registre Les clés de registre suivantes sont ajoutées afin de charger le service après le redémarrage:

– [HKLM\SYSTEM\CurrentControlSet\Services\mfm]
   • "Type"=dword:00000120
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000002
   • "ImagePath"="%SYSDIR%\mfm\msrll.exe"
   • "DisplayName"="Rll enhanced drive"
   • "ObjectName"="LocalSystem"

– [HKLM\SYSTEM\CurrentControlSet\Services\mfm\Security]
   • "Security"=%valeurs hexa%

IRC Afin de fournir des informations sur le système et un accès à distance, il se connecte au serveur IRC suivant:

Serveur: stolen.zxy0.com
Port: 6667
Canal: #stolen
Pseudonyme: %chaîne de caractères aléatoire%

– Ensuite il a la capacité d'opérer des actions tel que:
    • Lancer des attaques DDoS ICMP
    • Lancer des attaques DDoS SYN
    • Lance des attaques DDoS UDP
    • se déconnecter du serveur IRC
    • Exécuter un fichier
    • Joindre le canal IRC
    • Quitter la canal IRC
    • Redémarrer le système
    • Se mettre à jour tout seul

Porte dérobée Le port suivant est ouvert:

– %SYSDIR%\mfm\msrll.exe sur le port TCP 3000 afin de fournir de capacités de porte dérobée

Détails de fichier Langage de programmation:
Le fichier a été écrit en MS Visual C++.

Logiciel de compression des fichiers exécutables:
Pour entraver la détection et pour réduire la taille du fichier il est compressé avec le logiciel de compression des exécutables suivant:
• ASPack

Voir la description brève ici.

Description inséré par Andrei Gherman sur Fri, 09 Dec 2005 12:37 (GMT+1)
Description mise à jour par Oliver Auerbach sur Fri, 09 Dec 2005 18:02 (GMT+1)

» À propos des logiciels malveillants
» À propos de l'hameçonnage
» Virus "in the Wild"

« Retour