Worm/IRCBot.111616.2 - Worm

A voir aussi

Brève description

Description complète

Statistiques

Nom:	Worm/IRCBot.111616.2
La date de la découverte:	21/09/2006
Type:	Ver
En circulation:	Oui
Infections signalées	Faible
Potentiel de distribution:	Moyen
Potentiel de destruction:	Moyen
Fichier statique:	Oui
Taille du fichier:	111.616 Octets
Somme de contrôle MD5:	7c5ef2a797028ab9b312b263e30Ea6e5
Version VDF:	6.36.00.42
Version IVDF:	6.36.00.52

Général Méthodes de propagation:
   • Le réseau local
   • Programme de messagerie

Les alias:
   • Kaspersky: Backdoor.Win32.IRCBot.wo
   • TrendMicro: WORM_SPYBOT.EX
   • Sophos: W32/Vanebot-M

Plateformes / Systèmes d'exploitation:
   • Windows 96
   • Windows 99
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP

Effets secondaires:
   • Arrêt les applications de sécurité
   • Il enregistre les frappes de touche
   • Il modifie des registres
   • Il emploie les vulnérabilités de software
   • Il vole de l'information
   • Il facilite l'accès non autorisé à l'ordinateur

Fichiers Il s'autocopie dans l'emplacement suivant:
• %SYSDIR%\dllcache\dragonage.exe

Il supprime sa propre copie, exécutée initialement

Registre Les clés de registre suivantes sont ajoutées afin de charger le service après le redémarrage:

– HKLM\SYSTEM\CurrentControlSet\Services\Dragon Age - Bioware
   • "Type"=dword:00000110
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000000
   • "ImagePath"="%SYSDIR%\dllcache\dragonage.exe"
   • "DisplayName"="Dragon Age - Bioware"
   • "ObjectName"="LocalSystem"
   • "FailureActions"=%hex value%
   • "Description"="Dragon Age - Bioware."

– HKLM\SYSTEM\CurrentControlSet\Services\Dragon Age - Bioware\
   Security
   • "Security"=%hex value%

– HKLM\SYSTEM\CurrentControlSet\Services\Dragon Age - Bioware\Enum
   • "0"="Root\\LEGACY_DRAGON_AGE_-_BIOWARE\\0000"
   • "Count"=dword:00000001
   • "NextInstance"=dword:00000001

Les clés de registre suivantes sont ajoutée:

– HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_DRAGON_AGE_-_BIOWARE
   • "NextInstance"=dword:00000001

– HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_DRAGON_AGE_-_BIOWARE\
   0000
   • "Service"="Dragon Age - Bioware"
   • "Legacy"=dword:00000001
   • "ConfigFlags"=dword:00000000
   • "Class"="LegacyDriver"
   • "ClassGUID"="{8ECC055D-047F-11D1-A537-0000F8753ED1}"
   • "DeviceDesc"="Dragon Age - Bioware"

– HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_DRAGON_AGE_-_BIOWARE\
   0000\Control
   • "*NewlyCreated*"=dword:00000000
   • "ActiveService"="Dragon Age - Bioware"

Les clés de registre suivantes sont changées:

Désactive le Pare-feu du Windows XP:
– HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess
   L'ancienne valeur:
   • "Start"=0x3
   La nouvelle valeur:
   • "Start"=0x4

– HKLM\SYSTEM\CurrentControlSet\Services\wuauserv
   L'ancienne valeur:
   • "Start"=0x2
   La nouvelle valeur:
   • "Start"=0x4

– HKLM\SYSTEM\CurrentControlSet\Control\Lsa
   L'ancienne valeur:
   • "lmcompatibilitylevel"=0
   La nouvelle valeur:
   • "lmcompatibilitylevel"=1

– HKLM\SYSTEM\CurrentControlSet\Control\Lsa
   L'ancienne valeur:
   • "restrictanonymous"=0
   La nouvelle valeur:
   • "restrictanonymous"=1

– HKLM\SOFTWARE\Microsoft\Ole
   L'ancienne valeur:
   • "EnableDCOM"="Y"
   La nouvelle valeur:
   • "EnableDCOM"="N"

Programme de messagerie Il se répand par l'intermédiaire du programme de messagerie. Les caractéristiques sont décrites ci-dessous:

– MSN Messenger
– Yahoo Messenger

Infection du réseau Afin de assurer sa propagation, le malware essaye de se connecter à d'autres machines comme décrit ci-dessous.

La vulnérabilité:
Il se sert des vulnérabilités suivantes:
– MS02-061 (Elevation of Privilege in SQL Server Web)
– MS04-007 (ASN.1 Vulnerability)
– MS05-039 (Vulnerability in Plug and Play)

IRC Afin de fournir des informations sur le système et un accès à distance, il se connecte au serveur IRC suivant:

Serveur: roma.hottest.**********
Port: 4615
Canal: #.roma.#
Pseudonyme: [0]USA|%système d'exploitation%%chaîne de caractères aléatoire de six digits%
Mot de passe: romz

– Ce Malware a la capacité de ramasser et d'envoyer des informations tel que:
    • Les mots de passe en antémémoire:
    • Information sur le réseau
    • Information sur le système d'exploitation Windows

– Ensuite il a la capacité d'opérer des actions tel que:
    • Lancer des attaques DDoS SYN
    • Télécharger un fichier
    • Finir le processus
    • Ouvrir une ligne de commande à distance
    • Scanner le réseau
    • Commence le keylog
    • Démarrer une routine de propagation
    • Terminer un processus
    • Se mettre à jour tout seul

Arrêt de processus: Les processus contenant un des titres de fenêtre suivants sont arrêtés:
   • Ad-aware; spyware; hijack; norton; mcafee; f-pro; lockdown; firewall;
      blackice; vsmon; zonea; spybot; nod32; reged; troja

La liste des services qui sont désactivés:
   • Norton AntiVirus Auto Protect Service
   • Mcshield
   • Panda Antivirus

Porte dérobée Les ports suivants sont ouverts:

– %SYSDIR%\dllcache\dragonage.exe sur un port TCP aléatoire afin de fournir un serveur FTP
– %SYSDIR%\dllcache\dragonage.exe sur un port TCP aléatoire

Vol d'informations – Une routine de journalisation est commencé après que les chaînes de caractères suivantes soient tapées:
   • e-gold
   • e-silver
   • e-platinum
   • e-palladium
   • e-metal
   • Better Money

– Il capture:
    • Frappes de touche

– Une routine de journalisation est commencé après qu'un site web soit visité.
   • e-gold.com/srk.asp

L'injection du code viral dans d'autres processus – Il injecte le fichier suivant dans un processus: %SYSDIR%\dllcache\dragonage.exe

– Il injecte une routine de surveillance de processus dans un processus:

Nom du processus :
• %SYSDIR%\services.exe

Informations divers Mutex:
Il crée le Mutex suivant:
• Dragon Age
Ensuite il contient la chaîne de caractères suivante:
• Communism returns

Détails de fichier Langage de programmation:
Le fichier a été écrit en MS Visual C++.

Logiciel de compression des fichiers exécutables:
Afin d'entraver la détection et de réduire la taille du fichier il est compressé avec un logiciel de compression des exécutables.

Voir la description brève ici.

Description inséré par Bogdan Iliuta sur Wed, 27 Sep 2006 15:17 (GMT+1)
Description mise à jour par Bogdan Iliuta sur Fri, 20 Oct 2006 14:30 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Retour