Worm/Sdbot.134144.16 - Worm

A voir aussi

Brève description

Description complète

Statistiques

Nom:	Worm/Sdbot.134144.16
La date de la découverte:	02/10/2006
Type:	Ver
En circulation:	Non
Infections signalées	Faible
Potentiel de distribution:	Moyen à élevé
Potentiel de destruction:	Moyen
Fichier statique:	Oui
Taille du fichier:	134.144 Octets
Somme de contrôle MD5:	2e4800f2998357437866eafa292035b5
Version VDF:	6.36.00.71
Version IVDF:	6.36.00.86

Général Méthodes de propagation:
   • Le réseau local
   • Programme de messagerie

Les alias:
   • Mcafee: W32/Sdbot.worm
   • Kaspersky: Backdoor.Win32.IRCBot.wo
   • TrendMicro: TSPY_GOLDUN.GH
   • F-Secure: Backdoor.Win32.IRCBot.wo
   • Sophos: W32/Vanebot-S
   • Grisoft: IRC/BackDoor.SdBot2.JSA
   • Eset: Win32/IRCBot.UH

Plateformes / Systèmes d'exploitation:
   • Windows 99
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effets secondaires:
   • Arrêt les applications de sécurité
   • Il diminue les réglages de sécurité
   • Il enregistre les frappes de touche
   • Il modifie des registres
   • Il vole de l'information
   • Il facilite l'accès non autorisé à l'ordinateur

Fichiers Il s'autocopie dans l'emplacement suivant:
• %SYSDIR%\dllcache\msiupdate32.exe

Il supprime sa propre copie, exécutée initialement

Registre Les clés de registre suivantes sont ajoutées afin de charger les services après le redémarrage:

– [HKLM\SYSTEM\CurrentControlSet\Services\Microsoft update Service]
   • "Type"=dword:00000110
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000000
   • "ImagePath"="%SYSDIR%\dllcache\msiupdate32.exe"
   • "DisplayName"="Microsoft update Service"
   • "ObjectName"="LocalSystem"
   • "FailureActions"=%valeurs hexa%
   • "Description"="Microsoft update Service."

– HKLM\SYSTEM\CurrentControlSet\Services\Microsoft update Service\
   Security]
   • "Security"=%valeurs hexa%

– [HKLM\SYSTEM\CurrentControlSet\Services\Microsoft update Service\
   Enum]
   • "0"="Root\\LEGACY_MICROSOFT_UPDATE_SERVICE\\0000"
   • "Count"=dword:00000001
   • "NextInstance"=dword:00000001

Il crée l'entrée suivante afin de passer par le Firewall de Windows XP:

– [HKLM\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\
   FirewallPolicy\StandardProfile\AuthorizedApplications\List]
   • "%SYSDIR%\dllcache\msiupdate32.exe"="%SYSDIR%\dllcache\msiupdate32.exe:*:Enabled:Microsoft
      update Service"

Les clés de registre suivantes sont ajoutée:

– [HKLM\SOFTWARE\ProductName]
– [HKLM\SOFTWARE\ProductName\ProductID]

Les clés de registre suivantes sont changées:

Désactive le Pare-feu du Windows XP:
– [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess]
   L'ancienne valeur:
   • "Start"=%réglages définis par l'utilisateur%
   La nouvelle valeur:
   • "Start"=dword:00000004

– [HKLM\SYSTEM\CurrentControlSet\Services\wuauserv]
   L'ancienne valeur:
   • "Start"=%réglages définis par l'utilisateur%
   La nouvelle valeur:
   • "Start"=dword:00000004

– [HKLM\SOFTWARE\Microsoft\Ole]
   L'ancienne valeur:
   • "EnableDCOM"="Y"
   La nouvelle valeur:
   • "EnableDCOM"="N"

– [HKLM\SYSTEM\CurrentControlSet\Control\Lsa]
   L'ancienne valeur:
   • "lmcompatibilitylevel"=dword:00000000
   • "restrictanonymous"=dword:00000000
   La nouvelle valeur:
   • "lmcompatibilitylevel"=dword:00000001
   • "restrictanonymous"=dword:00000001

– [HKLM\SYSTEM\CurrentControlSet\Services\wscsvc]
   L'ancienne valeur:
   • "Start"=%réglages définis par l'utilisateur%
   La nouvelle valeur:
   • "Start"=dword:00000004

– [HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate]
   L'ancienne valeur:
   • "DoNotAllowXPSP2"=%réglages définis par l'utilisateur%
   • "DoNotAllowXPSP3"=%réglages définis par l'utilisateur%
   La nouvelle valeur:
   • "DoNotAllowXPSP2"=dword:00000001
   • "DoNotAllowXPSP3"=dword:00000001

Programme de messagerie Il se répand par l'intermédiaire du programme de messagerie. Les caractéristiques sont décrites ci-dessous:

– AIM Messenger
– ICQ Messenger
– MSN Messenger
– Yahoo Messenger

Infection du réseau Afin de assurer sa propagation, le malware essaye de se connecter à d'autres machines comme décrit ci-dessous.

La vulnérabilité:
Il se sert des vulnérabilités suivantes:
– MS02-061 (Elevation of Privilege in SQL Server Web)
– MS04-007 (ASN.1 Vulnerability)
–MS06-040 (Vulnérabilité dans Service de Serveur)

IRC Afin de fournir des informations sur le système et un accès à distance, il se connecte au serveur IRC suivant:

Serveur: dhl4.irc-sgo.**********
Port: 4523
Canal: #teddy#
Pseudonyme: NICK [0]USA|%système d'exploitation%[P]%chaîne de caractères aléatoire de six digits%
Mot de passe: mymum

– Ensuite il a la capacité d'opérer des actions tel que:
    • Lancer des attaques DDoS SYN
    • Scanner le réseau
    • Commence le keylog
    • Se mettre à jour tout seul

Arrêt de processus: Les processus avec une des chaînes de caractères suivantes sont terminés:
   • WindowsServer2003; Windows-XP; Windows-2000; Ad-aware; spyware;
      hijack; kav; proc; norton; mcafee; f-pro; lockdown; firewall;
      blackice; avg; vsmon; zonea; spybot; nod32; reged; avp; troja; viru;
      anti

La liste des services qui sont désactivés:
   • Norton AntiVirus Auto Protect Service
   • Mcshield
   • Panda Antivirus
   • wuauserv
   • Windows Firewall
   • wscsvc

Porte dérobée Les ports suivants sont ouverts:

– msiupdate32.exe sur un port TCP aléatoire afin de fournir un serveur FTP
– msiupdate32.exe sur un port TCP aléatoire

Vol d'informations Il essaie de voler l'information suivante:

– Une routine de journalisation est commencé après qu'un site web soit visité.
   • e-gold.com/srk.asp

– Une routine de journalisation est commencée après qu'un site web soit visité, qui contient une des sous chaînes de caractères suivantes dans l'URL.
   • bank
   • Bank
   • Wells Fargo
   • eBay
   • e-gold
   • iKobo
   • PayPal
   • StormPay
   • WorldPay
   • Western Union

– Il capture:
    • Information du compte

Informations divers Mutex:
Il crée le Mutex suivant:
• NSA

Modification du fichier:
Pour augmenter le nombre des connexions il a la capacité de modifier le fichier tcpip.sys. Le fichier pourra subir du dégât et l’interconnexion des circuits pourra être interrompue.

Détails de fichier Langage de programmation:
Le fichier a été écrit en MS Visual C++.

Logiciel de compression des fichiers exécutables:
Afin d'entraver la détection et de réduire la taille du fichier il est compressé avec un logiciel de compression des exécutables.

Voir la description brève ici.

Description inséré par Adriana Popa sur Fri, 03 Nov 2006 14:52 (GMT+1)
Description mise à jour par Adriana Popa sur Fri, 03 Nov 2006 15:02 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Retour