Worm/IRCBot.239616 - Worm

A voir aussi

Brève description

Description complète

Statistiques

Nom:	Worm/IRCBot.239616
La date de la découverte:	18/07/2006
Type:	Ver
En circulation:	Non
Infections signalées	Faible
Potentiel de distribution:	Moyen
Potentiel de destruction:	Moyen
Fichier statique:	Oui
Taille du fichier:	239.616 Octets
Somme de contrôle MD5:	7017883b7565805de4cb7d426461d89d
Version VDF:	6.35.01.219
Version IVDF:	6.35.01.223

Général Méthode de propagation:
   • Le réseau local

Les alias:
   • Kaspersky: Backdoor.Win32.Delf.atg
   • TrendMicro: BKDR_DELF.BSG
   • F-Secure: Backdoor.Win32.Delf.atg
   • Eset: Win32/Rbot
   • Bitdefender: Backdoor.Delf.TM

Avant, il était détecté comme:
   • BDS/Delf.atg.74

Plateformes / Systèmes d'exploitation:
   • Windows 99
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effets secondaires:
   • Il crée un fichier malveillant
   • Il modifie des registres
   • Il facilite l'accès non autorisé à l'ordinateur

Fichiers Le fichier suivant est créé:

– %SYSDIR%\%chaîne de caractères aléatoire%.exe Ensuite, il est exécuté après avoir été completment crée. Employé pour cacher un processus.

Registre Les clés suivantes sont en permanence ajoutées aux registres, dans une boucle infinie, afin de lancer les processus après le redémarrage.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "routing"="%chaîne de caractères aléatoire%.exe"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
   • "routing"="%chaîne de caractères aléatoire%.exe"

La clé de registre suivante est ajoutée:

– [HKCU\Software\Microsoft\OLE]
   • "routing"="%chaîne de caractères aléatoire%.exe"

La clé de registre suivante est changée:

– [HKLM\SYSTEM\CurrentControlSet\Control\Lsa]
   L'ancienne valeur:
   • "restrictanonymous"=dword:00000000
   La nouvelle valeur:
   • "restrictanonymous"=dword:00000001

Infection du réseau Afin de assurer sa propagation, le malware essaye de se connecter à d'autres machines comme décrit ci-dessous.

Il s'autocopie dans les partages réseau suivants:
   • IPC$
   • C$
   • ADMIN$

La vulnérabilité:
Il se sert de la vulnérabilité suivante:
– MS04-007 (ASN.1 Vulnerability)

La création des adresses IP:
Il crée des adresses IP aléatoires tandis qu'il garde le premier octet de son propre adresse. Ensuite il essaye d'établir une connexion avec les adresses créées.

Le processus d'infection:
Il crée un script FTP sur la machine compromise afin de télécharger le malware vers l'emplacement distant.

Exécution à distance:
–Il essaye de programmer une exécution à distance du malware, sur la machine nouvellement infectée. Par conséquent il emploie la fonction NetScheduleJobAdd.

IRC Afin de fournir des informations sur le système et un accès à distance, il se connecte au serveur IRC suivant:

Serveur: bitchs.shitzone.**********
Port: 9899
Le mot de passe du serveur: S.T
Canal: #$ocks
Pseudonyme: [XP]|%8-digit random character string%

– Ce Malware a la capacité de ramasser et d'envoyer des informations tel que:
    • Vitesse du CPU
    • Utilisateur courant
    • Détails sur les pilots
    • Espace libre sur le disque dur
    • Mémoire libre
    • Le temps de fonctionnement du Malware
    • Information sur le réseau
    • Information sur des processus courants
    • Taille de mémoire
    • Nom d'utilisateur
    • Information sur le système d'exploitation Windows

– Ensuite il a la capacité d'opérer des actions tel que:
    • se connecter au serveur IRC
    • Lancer des attaques DDoS SYN
    • Désactiver les partages réseau
    • se déconnecter du serveur IRC
    • Activer les partages réseau
    • Exécuter un fichier
    • Finir le processus
    • Opérer la redirection d'un certain port
    • Redémarrer le système
    • Envoyer des e-mails

Informations divers Mutex:
Il crée le Mutex suivant:
• by h4ck3r..

Détails de fichier Langage de programmation:
Le fichier a été écrit en MS Visual C++.

Logiciel de compression des fichiers exécutables:
Afin d'entraver la détection et de réduire la taille du fichier il est compressé avec un logiciel de compression des exécutables.

Voir la description brève ici.

Description inséré par Adriana Popa sur Thu, 07 Sep 2006 11:26 (GMT+1)
Description mise à jour par Adriana Popa sur Wed, 13 Sep 2006 11:18 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Retour