Worm/Sdbot.1256862 - Worm

A voir aussi

Brève description

Description complète

Statistiques

Nom:	Worm/Sdbot.1256862
La date de la découverte:	15/09/2006
Type:	Ver
En circulation:	Oui
Infections signalées	Faible
Potentiel de distribution:	Moyen
Potentiel de destruction:	Moyen
Fichier statique:	Oui
Taille du fichier:	1.256.862 Octets
Somme de contrôle MD5:	4d7844dd8595170C39109783f9b61da2
Version VDF:	6.35.01.117
Version IVDF:	6.35.01.118

Général Méthodes de propagation:
   • Le réseau local
   • Programme de messagerie

Les alias:
   • Kaspersky: Backdoor.Win32.SdBot.aqj
   • TrendMicro: WORM_SDBOT.AIJ

Plateformes / Systèmes d'exploitation:
   • Windows 96
   • Windows 99
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effets secondaires:
   • Il crée un fichier
   • Il modifie des registres
   • Il emploie les vulnérabilités de software
   • Il vole de l'information
   • Il facilite l'accès non autorisé à l'ordinateur

Immédiatement après l'exécution l'information suivante est affichée:

Fichiers Il s'autocopie dans l'emplacement suivant:
• %WINDIR%\win325b.exe

Il supprime sa propre copie, exécutée initialement

Le fichier suivant est créé:

– %SYSDIR%\drivers\oreans32.sys

Registre Les clés de registre suivantes sont ajoutées afin de charger les services après le redémarrage:

– [HKLM\SYSTEM\CurrentControlSet\Services\win32socket]
   • "Type"=dword:00000110
     "Start"=dword:00000002
     "ErrorControl"=dword:00000000
     "ImagePath"=%SYSDIR%\win325b.exe
     "DisplayName"="win32 socket"
     "ObjectName"="LocalSystem"
     "FailureActions"=%valeurs hexa%
     "Description"="win32 socket"

– [HKLM\SYSTEM\CurrentControlSet\Services\win32socket\Security]
   • "Security"=%valeurs hexa%

– [HKLM\SYSTEM\CurrentControlSet\Services\win32socket\Enum]
   • "0"="Root\\LEGACY_WIN32SOCKET\\0000"
     "Count"=dword:00000001
     "NextInstance"=dword:00000001

– [HKLM\SYSTEM\ControlSet001\Services\oreans32]
   • "Type"=dword:00000001
     "Start"=dword:00000001
     "ErrorControl"=dword:00000001
     "ImagePath"=\??\%SYSDIR%\drivers\oreans32.sys
     "DisplayName"="oreans32"

– [HKLM\SYSTEM\ControlSet001\Services\oreans32\Security]
   • "Security"=%valeurs hexa%

– [HKLM\SYSTEM\ControlSet001\Services\oreans32\Enum]
   • "0"="Root\\LEGACY_OREANS32\\0000"
     "Count"=dword:00000001
     "NextInstance"=dword:00000001

La clé de registre suivante est ajoutée:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions]
   • "Melt"="%le dossier d'exécution du malware%\%le fichier exécuté%"

Infection du réseau Afin de assurer sa propagation, le malware essaye de se connecter à d'autres machines comme décrit ci-dessous.

Il s'autocopie dans les partages réseau suivants:
   • C$
   • D$
   • IPC$
   • ADMIN$
   • d$\windows\system32
   • C$\windows\system32
   • c$\winnt\system32
   • ADMIN$\system32\

Il emploie les informations d'identification suivantes afin de gagner accès à la machine distante:

–Les nom d'utilisateurs et les mots de passe recueillis utilisent des fonctions NetBEUI.

– Une liste de noms d'utilisateurs et de mots de passe:
   • winxp; winpass; winnt; windoze; windowsME; windows98; windows2k;
      windows; win98; win2k; win2000; whore; whisky; whiskey; wh0re; west;
      web; washington; userpassword; user2; user123; user12; user1; unix;
      turnip; texas; test2; test12; test1; tennessee; temp2; temp123;
      temp12; temp1; technical; system; switch; susan; sue; student1;
      sqlpass; spencer; souris; slut; siemens; share; server2; server123;
      server12; server1; satan2; satan123; satan12; satan1; sam; sage;
      rooted; ron; reseau; r00t; qwerty2; qwerty123; qwerty12; qwerty1; qwe;
      quidditch; qaz; pwned; private2; private123; private12; private1;
      potter; poiut; pink; peter; password2; password12; password1; pass2;
      pass1234; pass123; pass12; pass1; owned; own; owa; outlook;
      ordinateur; orange; orainstall; opteron; oil; office; oemuser;
      oeminstall; oem; oainstall; null; nopass; noob; nokia; newfy; newfie;
      neil; money; mouse; moonshine; mince; mike; merde; mass; mary;
      manager2; manager123; manager12; manager1; main; mail; madre; luke;
      lol; loginpass; linux; lee; lan; katie; kate; john; joe; joan; jesus2;
      jesus123; jesus12; jesus1; jen; jackdaniels; iraq; intranet; internet;
      imprimeur; idiot; ibm; ian; homeuser; hogwarts; hermione; hermine;
      hello; hell; heaven; headoffice; hax; harry; hagrid; gryffindor; god2;
      god123; god12; god1; glen; george; gay; gast; fucked; fuck; freddy;
      fred; freak; frank; fool; fish; feds; fanny; exchnge; exchange; eric;
      ecran; dumbledore; dude; drugs; dope; domainpassword; domainpass;
      domain; devil; demo; dementor; dell; dbpassword; dbpass; db1234; db1;
      databasepassword; databasepass; data; rom; ctx; crash; copine; copin;
      control; compaq; cisco; chris; cederom; cauldron; carte; capitol;
      buckbeak; bruce; brian; bong; bob; blank; bitch; bill; biere; beer;
      barbara; backdoor; azkaban; azerty; athlon; askaban; asd; amie; ami;
      afro; administrator2; administrator123; administrator12;
      administrator1; admin2; admin12; admin1; adm; accounts; accounting;
      access; WindowsXP; West; Washington; Verwalter; UNIX; Texas;
      Tennessee; TEST; TEMP; Server; SYSTEM; SERVER; Root; ROOT; PHP;
      PASSWD; Ospite; LOCAL; GUEST; GAST; Coordinatore; CNN; Box; BOX;
      BACKUP; Administrator; Administrateur; Administrador; ASP;
      ADMINISTRATOR; ADMINISTRATEUR; ADMINISTRADOR; ADMIN; ACCESS; 666;
      2525; 2001; 2000; 1999; 1998; 1997; 1996; 1778; 1776; 123467890;
      12346789; 1234678; 123467; 12346; 1234567890; 121; !@; $%^&*; !@;
      $%^&; !@; $%^; !@; $%; !@; $; bl00py; none; noweakpass; zxcvbnm; zxcv;
      yxcv; xyz; xxyyzz; xxx; work; win; werty; vagina; user; test123;
      security; test; temp; sybase; supersecret; superman; super; sql; sex;
      server; secrets; secret; school; satan; renegade; red123; qwertyuiop;
      qwerty; qwer; pwd; pussy; public; private; porn; poiuytrewq; penis;
      patrick; pat; password123; passwd; pass; mypc; mypass; mybox; mybaby;
      metal; manager; love; login; letmein; leet; kids; jesus; ihavenopass;
      homework; home; godblessyou; god; foobar; enable; changeme; box; baby;
      asdfghjkl; asdfgh; asdf; alpha; admin123; abcd; abc123; abc; aaa;
      User; Unknown; Test; Standard; Password; Owner; OEM; Login; Inviter;
      Internet; Guest; Gast; Dell; Default; CHT; CHECK; Admin; 88888888;
      888888; 654321; 54321; 5201314; 2600; 2004; 2003; 2002; 123qwe;
      123asd; 123abc; 1234qwer; 123456789; 12345678; 1234567; 123456; 1234;
      123123; 121212; 11111111; 111111; 111; 110; 007; 00000000; 000000;
      12345; 11111; 123; password; backup; db2; oracle; dba; database;
      default; guest; wwwadmin; teacher; student; owner; computer; root;
      staff; admin; admins; administrat; administrateur; administrador;
      administrator

La vulnérabilité:
Il se sert des vulnérabilités suivantes:
– MS03-026 (Buffer Overrun in RPC Interface)
– MS03-039 (Buffer Overrun in RPCSS Service)
– MS03-049 (Buffer Overrun in the Workstation Service)
– MS04-007 (ASN.1 Vulnerability)
– MS04-011 (LSASS Vulnerability)
– MS05-039 (Vulnerability in Plug and Play)

La création des adresses IP:
Il crée des adresses IP aléatoires et il essaye d'établir une connexion avec elles.
Il crée des adresses IP aléatoires tandis qu'il garde le premier octet de son propre adresse. Ensuite il essaye d'établir une connexion avec les adresses créées.

Le processus d'infection:
Crée un script TFTP ou FTP sur la machine compromise afin de télécharger le malware vers l'emplacement distant.

Ralentissement de connexion:
– Vous pourriez également constater un léger ralentissement du système dû aux multiples fils d'exécution créés en réseau.

Exécution à distance:
–Il essaye de programmer une exécution à distance du malware, sur la machine nouvellement infectée. Par conséquent il emploie la fonction NetScheduleJobAdd.

IRC Afin de fournir des informations sur le système et un accès à distance, il se connecte au serveur IRC suivant:

Serveur: irc.suc**********
Canal: #weed
Pseudonyme: %chaîne de caractères aléatoire de huit digits%
Mot de passe: marijuana

– Ce Malware a la capacité de ramasser et d'envoyer des informations tel que:
    • Le temps de fonctionnement du Malware

– Ensuite il a la capacité d'opérer des actions tel que:
    • se connecter au serveur IRC
    • Lancer des attaques DDoS ICMP
    • Lancer des attaques DDoS SYN
    • Désactiver les partages réseau
    • Télécharger un fichier
    • Éditer le registre
    • Activer DCOM
    • Activer les partages réseau
    • Joindre le canal IRC
    • Quitter la canal IRC
    • Opérer un attaque DDoS
    • Scanner le réseau
    • Démarrer une routine de propagation
    • Se mettre à jour tout seul
    • Visiter un site web

Porte dérobée Capacités d'accès à distance:
    • Désactiver les partages réseau
    • Éditer le registre
    • Activer les partages réseau

Informations divers Mutex:

Il crée le Mutex suivant:
• TI”J–¶%ø

Anti debugging
Il vérifie si le programme suivant est en exécution:
• SoftIce

Détails de fichier Langage de programmation:
Le fichier a été écrit en MS Visual C++.

Logiciel de compression des fichiers exécutables:
Pour entraver la détection et pour réduire la taille du fichier il est compressé avec le logiciel de compression des exécutables suivant:
• MEW

Voir la description brève ici.

Description inséré par Monica Ghitun sur Fri, 15 Sep 2006 13:16 (GMT+1)
Description mise à jour par Andrei Ivanes sur Fri, 13 Oct 2006 15:14 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Retour