BDS/Hupigon.E.201 - Backdoor Server

A voir aussi

Brève description

Description complète

Statistiques

Nom:	BDS/Hupigon.E.201
La date de la découverte:	22/06/2006
Type:	Serveur porte dérobée
En circulation:	Non
Infections signalées	Faible
Potentiel de distribution:	Faible
Potentiel de destruction:	Moyen
Fichier statique:	Oui
Taille du fichier:	348.550 Octets
Somme de contrôle MD5:	641802385471e1a59e43531570b7d328
Version VDF:	6.35.00.58
Version IVDF:	6.35.00.66

Général Méthode de propagation:
   • Il ne possède pas de propre routine de propagation

Les alias:
   • Mcafee: BackDoor-AWQ.b.dr
   • Kaspersky: Backdoor.Win32.Hupigon.bqp
   • TrendMicro: BKDR_HUPIGON.NP
   • F-Secure: Backdoor.Win32.Hupigon.bqp
   • Sophos: Troj/Hupigo-BLN
   • Bitdefender: Backdoor.Hupigon.E

Plateformes / Systèmes d'exploitation:
   • Windows 99
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effets secondaires:
   • Il télécharge un fichier
   • Il crée des fichiers malveillants
   • Il enregistre les frappes de touche
   • Il modifie des registres
   • Il vole de l'information
   • Il facilite l'accès non autorisé à l'ordinateur

Fichiers Il s'autocopie dans l'emplacement suivant:
• %WINDIR%\WMAPAD.exe

Il supprime sa propre copie, exécutée initialement

Les fichiers suivants sont créés:

– %WINDIR%\uninstal.bat Ensuite, il est exécuté après avoir été completment crée. Ce fichier séquentiel est employé pour effacer un fichier.
– %WINDIR%\WMAPAD.DLL Les investigations ultérieures ont prouvé que ce ficher est également un Malware. Détecté comme: BDS/Hupigon.E.1

– %WINDIR%\WMAPADKey.Dll
– %WINDIR%\WMAPADKey.log Ce fichier contient des frappes de touche collectés.

Il essaie de télécharger un ficher:

– L'emplacement est le suivant:
• www.mycoue.com/gz/**********
Ce fichier peut contenir d'autres emplacements de téléchargement et pourrait servir comme source à de nouvelles menaces.

Registre Les clés de registre suivantes sont ajoutées afin de charger le service après le redémarrage:

– [HKLM\SYSTEM\ControlSet001\Services\WMAEditServer]
   • "Type"=dword:00000110
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000000
   • "ImagePath"="%WINDIR%\WMAPAD.exe"
   • "DisplayName"="WMAEditServer"
   • "ObjectName"="LocalSystem"
   • "Description"="ÏµÍ³Ä¬ÈÏÓ°Òô±à¼¹¤¾ß"

– [HKLM\SYSTEM\ControlSet001\Services\WMAEditServer\Security]
   • "Security"=%valeurs hexa%

– [HKLM\SYSTEM\ControlSet001\Services\WMAEditServer\Enum]
   • "0"="Root\LEGACY_WMAEDITSERVER\0000"
   • "Count"=dword:00000001
   • "NextInstance"=dword:00000001

Les clés de registre suivantes sont changées:

– [HKCU\Software\Microsoft\Internet Explorer\Main]
   L'ancienne valeur:
   • "Check_Associations"=%réglages définis par l'utilisateur%
   La nouvelle valeur:
   • "Check_Associations"="yes"

– [HKCU\Software\Microsoft\Internet Connection Wizard]
   L'ancienne valeur:
   • "Completed"=%réglages définis par l'utilisateur%
   La nouvelle valeur:
   • "Completed"=hex:01,00,00,00

Porte dérobée Serveur de contact:
Le suivant:
• %URL du fichier téléchargé%

Capacités d'accès à distance:
• Commence le keylog

L'injection du code viral dans d'autres processus – Il injecte le fichier suivant dans un processus: WMAPAD.DLL

    Nom du processus :
   • iexplore.exe

– Il injecte le fichier suivant dans un processus: WMAPADKey.DLL

    Nom du processus :
   • %tous les processus en exécution"

La technologie Rootkit Il cache les suivants:
– Ses propres fichiers
– Sa propre clé de registre

La méthode utilisée:
• Caché de Windows API

Détails de fichier Langage de programmation:
Le fichier a été écrit en Delphi.

Logiciel de compression des fichiers exécutables:
Afin d'entraver la détection et de réduire la taille du fichier il est compressé avec un logiciel de compression des exécutables.

Voir la description brève ici.

Description inséré par Adriana Popa sur Wed, 23 Aug 2006 15:29 (GMT+1)
Description mise à jour par Adriana Popa sur Thu, 24 Aug 2006 10:42 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back