Worm/Sdbot.130560.18 - Worm

A voir aussi

Brève description

Description complète

Statistiques

Nom:	Worm/Sdbot.130560.18
La date de la découverte:	13/07/2006
Type:	Ver
En circulation:	Non
Infections signalées	Faible
Potentiel de distribution:	Moyen
Potentiel de destruction:	Moyen
Fichier statique:	Oui
Taille du fichier:	130.560 Octets
Somme de contrôle MD5:	af5b94a5c513c317d4838ba2058b63e0
Version VDF:	6.35.00.159
Version IVDF:	6.35.00.198

Général Les alias:
   • Kaspersky: Backdoor.Win32.SdBot.aad
   • VirusBuster: virus Worm.RBot.FKB
   • Bitdefender: Backdoor.SdBot.BFU

Plateformes / Systèmes d'exploitation:
   • Windows 96
   • Windows 99
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP

Effets secondaires:
   • Il diminue les réglages de sécurité
   • Il modifie des registres
   • Il facilite l'accès non autorisé à l'ordinateur

Fichiers Il s'autocopie dans l'emplacement suivant:
• %WINDIR%\winamp.exe

Registre Les clés de registre suivantes sont ajoutées afin de charger le service après le redémarrage:

– HKLM\SYSTEM\CurrentControlSet\Services\winamp service control
   • "Type"=dword:00000110
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000000
   • "ImagePath"="%WINDIR%\winamp.exe"
   • "DisplayName"="winamp service control"
   • "ObjectName"="LocalSystem"
   • "FailureActions"=%valeurs hexa%
   • "Description"="winamp service control"

La valeur de la clé de registre suivante est supprimée:

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions
   • "Melt"=%le dossier d'exécution du malware%\%le fichier exécuté%

Les clés de registre suivantes sont ajoutée:

– HKLM\SYSTEM\CurrentControlSet\Services\winamp service control\
   Security
   • "Security"=%valeurs hexa%

– HKLM\SYSTEM\CurrentControlSet\Services\winamp service control\Enum
   • "0"="Root\\LEGACY_WINAMP_SERVICE_CONTROL\\0000"
   • "Count"=dword:00000001
   • "NextInstance"=dword:00000001

– HKLM\SYSTEM\CurrentControlSet\Enum\Root\
   LEGACY_WINAMP_SERVICE_CONTROL
   • "NextInstance"=dword:00000001

– HKLM\SYSTEM\CurrentControlSet\Enum\Root\
   LEGACY_WINAMP_SERVICE_CONTROL\0000
   • "Service"="winamp service control"
   • "Legacy"=dword:00000001
   • "ConfigFlags"=dword:00000000
   • "Class"="LegacyDriver"
   • "ClassGUID"="{8ECC055D-047F-11D1-A537-0000F8753ED1}"
   • "DeviceDesc"="winamp service control"

– HKLM\SYSTEM\CurrentControlSet\Enum\Root\
   LEGACY_WINAMP_SERVICE_CONTROL\0000\Control
   • "*NewlyCreated*"=dword:00000000
   • "ActiveService"="winamp service control"

– HKLM\SOFTWARE\Microsoft\Security Center
   • "UpdatesDisableNotify"=1
   • "AntiVirusDisableNotify"=1
   • "FirewallDisableNotify"=1
   • "AntiVirusOverride"=1
   • "FirewallOverride"=1

– HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile
   • "EnableFirewall"=1

– HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\StandardProfile
   • "EnableFirewall"=1

– HKLM\SYSTEM\CurrentControlSet\Services\wscsvc
   • "Start"=4

– HKLM\SYSTEM\CurrentControlSet\Services\TlntSvr
   • "Start"=4

– HKLM\SYSTEM\CurrentControlSet\Services\RemoteRegistry
   • "Start"=4

– HKLM\SYSTEM\CurrentControlSet\Services\Messenger
   • "Start"=4

– HKLM\SYSTEM\CurrentControlSet\Control\Lsa
   • "restrictanonymous"=1

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions
   • "Melt"=%le dossier d'exécution du malware%\%le fichier exécuté%

Les clés de registre suivantes sont changées:

Il désactive le Gestionnaire des tâches et l'éditeur de la base de registres
– HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\
   Policies\System
   L'ancienne valeur:
   • "DisableRegistryTools"=0
   • "DisableTaskMgr"=0
   La nouvelle valeur:
   • "DisableRegistryTools"=1
   • "DisableTaskMgr"=1

– HKLM\SOFTWARE\Microsoft\Ole
   L'ancienne valeur:
   • "EnableDCOM"="Y"
   La nouvelle valeur:
   • "EnableDCOM"="N"

– HKLM\SYSTEM\CurrentControlSet\Control
   L'ancienne valeur:
   • WaitToKillServiceTimeout="20000"
   La nouvelle valeur:
   • WaitToKillServiceTimeout="7000"

Infection du réseau La vulnérabilité:
Il se sert des vulnérabilités suivantes:
– MS02-061 (Elevation of Privilege in SQL Server Web)
– MS03-026 (Buffer Overrun in RPC Interface)
– MS03-039 (Buffer Overrun in RPCSS Service)
– MS03-049 (Buffer Overrun in the Workstation Service)
– MS04-007 (ASN.1 Vulnerability)

Exécution à distance:
–Il essaye de programmer une exécution à distance du malware, sur la machine nouvellement infectée. Par conséquent il emploie la fonction NetScheduleJobAdd.

IRC Afin de fournir des informations sur le système et un accès à distance, il se connecte au serveur IRC suivant:

Serveur: yes.fucuzzy.com
Port: 5552;3336
Canal: #ver#
Pseudonyme: [P00|USA|%chaîne de caractères aléatoire de huit digits%
Mot de passe: m00

– Ce Malware a la capacité de ramasser et d'envoyer des informations tel que:
    • Vitesse du CPU
    • Utilisateur courant
    • Espace libre sur le disque dur
    • Mémoire libre
    • Le temps de fonctionnement du Malware
    • Information sur le réseau
    • Information sur des processus courants
    • Taille de mémoire
    • Information sur le système d'exploitation Windows

– Ensuite il a la capacité d'opérer des actions tel que:
    • Lancer des attaques DDoS ICMP
    • Lancer des attaques DDoS SYN
    • Lance des attaques DDoS UDP
    • Télécharger un fichier
    • Exécuter un fichier
    • Finir le processus
    • Ouvrir une ligne de commande à distance
    • Scanner le réseau
    • Opérer la redirection d'un certain port
    • Terminer le Malware
    • Se mettre à jour tout seul
    • Charger un fichier

Porte dérobée Serveur de contact:
Le suivant:
• http://www.littleworld.pe.kr/**********

Ceci est fait par l'intermédiaire de la requête HTTP GET du script PHP.

Informations divers Mutex:
Il crée le Mutex suivant:
• XSEQWX

Anti debugging
Il vérifie si le fichier suivant est présent:
• \\.\NTICE

Détails de fichier Langage de programmation:
Le fichier a été écrit en MS Visual C++.

Logiciel de compression des fichiers exécutables:
Afin d'entraver la détection et de réduire la taille du fichier il est compressé avec un logiciel de compression des exécutables.

Voir la description brève ici.

Description inséré par Bogdan Iliuta sur Mon, 11 Sep 2006 16:45 (GMT+1)
Description mise à jour par Bogdan Iliuta sur Fri, 24 Nov 2006 11:20 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Retour