BDS/Agent.RF.2 - Backdoor Server

A voir aussi

Brève description

Description complète

Statistiques

Nom:	BDS/Agent.RF.2
La date de la découverte:	02/08/2006
Type:	Serveur porte dérobée
En circulation:	Non
Infections signalées	Faible
Potentiel de distribution:	Faible
Potentiel de destruction:	Faible a moyen
Fichier statique:	Oui
Taille du fichier:	41.472 Octets
Somme de contrôle MD5:	29ab2c1a647058e1613e2c1661caff14
Version VDF:	6.35.01.36
Version IVDF:	6.35.01.36

Général Méthode de propagation:
   • Il ne possède pas de propre routine de propagation

Les alias:
   • Kaspersky: Backdoor.Win32.Agent.acx
   • TrendMicro: BKDR_AGENT.DAB
   • Bitdefender: Backdoor.Agent.RF

Plateformes / Systèmes d'exploitation:
   • Windows 96
   • Windows 99
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effets secondaires:
   • Il diminue les réglages de sécurité
   • Il modifie des registres

Fichiers Il s'autocopie dans l'emplacement suivant:
• %SYSDIR%\taskmgn.exe

Registre La clé de registre suivante est ajoutée afin de lancer le processus après le redémarrage:

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • "Windows Task Manager"="%SYSDIR%\taskmgn.exe"

La clé de registre suivante, y compris toutes les valeurs et les sous-clés, est enlevée.
   • HKCU\SOFTWARE\Microsoft\DMSDOS\RM

Les clés de registre suivantes sont ajoutée:

– HKCU\Software\Microsoft\DMSDOS
   • "CurrentVersion"=dword:00000023
   • "Last Update"="%la date courante% %l'heure courante%"
   • "Next Update"="%date dans le future% %l'heure courante%"
   • "StartupURL"="http://87.249.38.126/update/s.dat"
   • "Id"="%numéro hexadécimal%"

– HKCU\SOFTWARE\Microsoft\DMSDOS\RM
   • "%le dossier d'exécution du malware%\%le fichier exécuté%"="%le dossier d'exécution du malware%\%le fichier exécuté%"

La clé de registre suivante est changée:

– HKLM\SOFTWARE\Microsoft\Security Center
   La nouvelle valeur:
   • "FirewallOverride"=dword:00000001
   • "AntiVirusOverride"=dword:00000001

Arrêt de processus: La liste des processus qui sont terminés:
   • Anti-Trojan.exe; ANTS.exe; apvxdwin.exe; ATCON.exe; ATUPDATER.exe;
      ATWATCH.exe; AUPDATE.exe; AUTODOWN.exe; AUTOTRACE.exe; AUTOUPDATE.exe;
      Avconsol.exe; AVP.exe; AVP32.exe; avpcc.exe; avpm.exe; AVPUPD.exe;
      Avsynmgr.exe; AVWUPD32.exe; AVXQUAR.exe; bdmcon.exe; bdoesrv.exe;
      bdss.exe; CMGrdian.exe; drwebupw.exe; GUARD.exe; iamapp.exe;
      iamserv.exe; ICLOAD95.exe; ICLOADNT.exe; ICMON.exe; ICSSUPPNT.exe;
      ICSUPP95.exe; ICSUPPNT.exe; LUCOMSERVER.exe; MCAGENT.exe;
      mcupdate.exe; MINILOG.exe; MOOLIVE.exe; NAVAPW32.exe; NMAIN.exe;
      NPROTECT.exe; NSCHED32.exe; NUPGRADE.exe; regedit.exe; regedt32.exe;
      RuLaunch.exe; Vshwin32.exe; VsStat.exe; zatutor.exe; zonealarm.exe

Porte dérobée Le port suivant est ouvert:

– %SYSDIR%\taskmgn.exe sur un port TCP aléatoire afin de fonctionner comme serveur proxy Sock 4.

Serveur de contact:
Tous les suivants:
   • http://87.249.38.126/asg234/**********?v=%nombre%&u=%chaîne de caractères aléatoire%&t=%lettre%&p=%port ouvert%&g=%numéro hexadécimal%&w=%système d'exploitation%
   • http://87.249.38.126/update/**********?v=%nombre%

Il envoie de l'information au sujet de:
    • Port ouvert
    • Information sur le système d'exploitation Windows

Informations divers Il vérifie l'existence d'une connexion Internet en contactant le site web suivant:
• http://v5.windowsupdate.microsoft.com/v5consumer/QyehIhd.inc

Mutex:
Il crée le Mutex suivant:
• 68E1D888-19B3-4F40-8941-95EC38E4AF69

Détails de fichier Logiciel de compression des fichiers exécutables:
Pour entraver la détection et pour réduire la taille du fichier il est compressé avec le logiciel de compression des exécutables suivant:
• UPX

Voir la description brève ici.

Description inséré par Ionut Slaveanu sur Tue, 08 Aug 2006 16:03 (GMT+1)
Description mise à jour par Ionut Slaveanu sur Mon, 28 Aug 2006 10:15 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Retour