Worm/Wootbot.CV - Worm

A voir aussi

Brève description

Description complète

Statistiques

Nom:	Worm/Wootbot.CV
La date de la découverte:	01/06/2006
Type:	Ver
En circulation:	Non
Infections signalées	Faible
Potentiel de distribution:	Moyen
Potentiel de destruction:	Moyen
Fichier statique:	Oui
Taille du fichier:	434.176 Octets
Somme de contrôle MD5:	20cbbf5ded37554ab43ae6e58fbed783
Version VDF:	6.34.01.171
Version IVDF:	6.34.01.177

Général Méthode de propagation:
   • Le réseau local

Les alias:
   • Symantec: W32.Spybot.Worm
   • Kaspersky: Backdoor.Win32.Wootbot.cv
   • Sophos: Troj/Wootbot-K
   • Eset: Win32/Wootbot.NIM
   • Bitdefender: Backdoor.Wootbot.CV

Plateformes / Systèmes d'exploitation:
   • Windows 99
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effets secondaires:
   • Il modifie des registres
   • Il emploie les vulnérabilités de software
   • Il vole de l'information
   • Il facilite l'accès non autorisé à l'ordinateur

Fichiers Il s'autocopie dans l'emplacement suivant:
• %SYSDIR%\svchost32.exe

Registre Les clés de registre suivantes sont ajoutées afin d'exécuter des processus après le redémarrage:

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • "Microsoft Windows Update 32"="svchost32.exe"

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
   • "Microsoft Windows Update 32"="svchost32.exe"

– HKCU\Software\Microsoft\Windows\CurrentVersion\Run
   • "Microsoft Windows Update 32"="svchost32.exe"

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
   • "Microsoft Windows Update 32"="svchost32.exe"

Les clés de registre suivantes sont ajoutées afin de charger le service après le redémarrage:

– HKLM\SYSTEM\CurrentControlSet\Services\Win32
   • "Type"=dword:00000020
   • "Start"=dword:00000004
   • "ErrorControl"=dword:00000001
   • "ImagePath"="%SYSDIR%\svchost32.exe"
   • "DisplayName"="Microsoft Windows Update 32"
   • "ObjectName"="LocalSystem"
   • "FailureActions"=%valeurs hexa%
   • "DeleteFlag"=dword:00000001

La clé de registre suivante est ajoutée:

– HKLM\SOFTWARE\Licenses
   • {%chaîne de caractères aléatoire%}=%valeurs hexa%

Infection du réseau Afin de assurer sa propagation, le malware essaye de se connecter à d'autres machines comme décrit ci-dessous.

La vulnérabilité:
Il se sert des vulnérabilités suivantes:
– MS04-007 (ASN.1 Vulnerability)
– MS04-011 (LSASS Vulnerability)
– La porte dérobée Optix (port 3140)

Le processus d'infection:
Il crée un script FTP sur la machine compromise afin de télécharger le malware vers l'emplacement distant.

IRC Afin de fournir des informations sur le système et un accès à distance, il se connecte au serveur IRC suivant:

Serveur: 220.118.**********
Port: 26878
Le mot de passe du serveur: drekdrek313
Canal: #forasn
Pseudonyme: PiR|%chaîne de caractères aléatoire de sept digits%
Mot de passe: forbotcrew1

– Ce Malware a la capacité de ramasser et d'envoyer des informations tel que:
    • Les mots de passe en antémémoire:
    • Vitesse du CPU
    • Utilisateur courant
    • Détails sur les pilots
    • Espace libre sur le disque dur
    • Mémoire libre
    • Information sur le réseau
    • L'ID de la plateforme
    • Information sur des processus courants
    • Taille de mémoire
    • Information sur le système d'exploitation Windows

– Ensuite il a la capacité d'opérer des actions tel que:
    • Lancer des attaques DDoS ICMP
    • Lancer des attaques DDoS SYN
    • Lance des attaques DDoS UDP
    • Désactiver les partages réseau
    • Télécharger un fichier
    • Éditer le registre
    • Activer les partages réseau
    • Exécuter un fichier
    • Finir le processus
    • Ouvrir une ligne de commande à distance
    • Opérer un attaque DDoS
    • Scanner le réseau
    • Enregistrer un service
    • Redémarrer le système
    • Envoyer des e-mails
    • Démarrer une routine de propagation
    • Terminer un processus

Porte dérobée Le port suivant est ouvert:

– %SYSDIR%\svchost32.exe sur un port TCP aléatoire afin de fournir un serveur FTP

Vol d'informations Il essaie de voler l'information suivante:

– Les clés de CD suivantes:
   • Battlefield 1942; Battlefield 1942 (Road To Rome); Battlefield 1942
      (Secret Weapons of WWII); Battlefield Vietnam; Black and White;
      Command & Conquer Generals; Command and Conquer: Generals (Zero Hour);
      Command and Conquer: Red Alert 2; Command and Conquer: Tiberian Sun;
      Counter-Strike (Retail); FIFA 2002; FIFA 2003; Freedom Force; Global
      Operations; Gunman Chronicles; Half-Life; Hidden & Dangerous 2; IGI 2:
      Covert Strike; Industry Giant 2; James Bond 007: Nightfire; Medal of
      Honor: Allied Assault; Medal of Honor: Allied Assault: Breakthrough;
      Medal of Honor: Allied Assault: Spearhead; Nascar Racing 2002; Nascar
      Racing 2003; Need For Speed: Underground; Neverwinter Nights; NHL
      2003; NHL 2002; Rainbow Six III RavenShield; Shogun: Total War:
      Warlord Edition; Soldier of Fortune II - Double Helix; Soldiers Of
      Anarchy; The Gladiators; Unreal Tournament 2003; Unreal Tournament
      2004

– Les mots de passe des programmes suivants:
   • Windows Messenger
   • AOL Messenger
   • Yahoo Messenger

Informations divers Mutex:
Il crée le Mutex suivant:
• RALF781D7CA

Détails de fichier Langage de programmation:
Le fichier a été écrit en MS Visual C++.

Voir la description brève ici.

Description inséré par Irina Boldea sur Wed, 09 Aug 2006 14:39 (GMT+1)
Description mise à jour par Andrei Gherman sur Thu, 10 Aug 2006 10:06 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back