BDS/Haxdoor.LF - Backdoor Server

A voir aussi

Brève description

Description complète

Statistiques

Nom:	BDS/Haxdoor.LF
La date de la découverte:	18/10/2006
Type:	Serveur porte dérobée
En circulation:	Non
Infections signalées	Faible
Potentiel de distribution:	Faible
Potentiel de destruction:	Moyen
Fichier statique:	Oui
Taille du fichier:	55.436 Octets
Somme de contrôle MD5:	06d5da22f8e834d2e19c9b086a6763a8
Version VDF:	6.36.00.90
Version IVDF:	6.36.00.106

Général Méthode de propagation:
   • Il ne possède pas de propre routine de propagation

Les alias:
   • Mcafee: BackDoor-BAC!55436
   • Kaspersky: Backdoor.Win32.Haxdoor.lf
   • TrendMicro: PAK_Generic.001
   • F-Secure: W32/Goldun.NC
   • Sophos: Troj/Haxdoor-DG
   • Eset: Win32/Haxdoor

Plateformes / Systèmes d'exploitation:
   • Windows 96
   • Windows 99
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effets secondaires:
   • Il crée des fichiers malveillants
   • Il modifie des registres
   • Il facilite l'accès non autorisé à l'ordinateur

Fichiers Les fichiers suivants sont créés:

– %SYSDIR%\kgctini.dat
– %SYSDIR%\ydsvgd.sys Ensuite, il est exécuté après avoir été completment crée. Les investigations ultérieures ont prouvé que ce ficher est également un Malware. Détecté comme: BDS/Haxdoor.JU.1

– %SYSDIR%\qo.sys Ensuite, il est exécuté après avoir été completment crée. Les investigations ultérieures ont prouvé que ce ficher est également un Malware. Détecté comme: BDS/Haxdoor.JU.1

– %SYSDIR%\ycsvgd.sys Ensuite, il est exécuté après avoir été completment crée. Les investigations ultérieures ont prouvé que ce ficher est également un Malware. Détecté comme: BDS/Haxdoor.JU.1

– %SYSDIR%\qo.dll Ensuite, il est exécuté après avoir été completment crée. Les investigations ultérieures ont prouvé que ce ficher est également un Malware. Détecté comme: TR/PSW.PdPi.CT.1.D

– %SYSDIR%\ydsvgd.dll Ensuite, il est exécuté après avoir été completment crée. Les investigations ultérieures ont prouvé que ce ficher est également un Malware. Détecté comme: TR/PSW.PdPi.CT.1.D

– C:\system32\lps.dat
– %SYSDIR%\qo.dll

Registre Les clés de registre suivantes sont ajoutées afin de charger les services après le redémarrage:

– [HKLM\SYSTEM\CurrentControlSet\Services\ycsvgd]
   • "Type"=dword:00000001
   • "Start"=dword:00000001
   • "ErrorControl"=dword:00000000
   • "ImagePath"="\??\%SYSDIR%\ycsvgd.sys"
   • "DisplayName"="PTA Adapter"

– [HKLM\SYSTEM\CurrentControlSet\Services\ycsvgd\Security]
   • "Security"=%valeurs hexa%

– [HKLM\SYSTEM\CurrentControlSet\Services\ycsvgd\Enum]
   • "0"="Root\\LEGACY_YCSVGD\\0000"
   • "Count"=dword:00000001
   • "NextInstance"=dword:00000001

– [HKLM\SYSTEM\CurrentControlSet\Services\ydsvgd]
   • "Type"=dword:00000001
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000000
   • "ImagePath"="\??\%SYSDIR%\ycsvgc.sys"
   • "DisplayName"="PTA Adapter32"

– [HKLM\SYSTEM\CurrentControlSet\Services\ydsvgd\Security]
   • "Security"=%valeurs hexa%

– [HKLM\SYSTEM\CurrentControlSet\Services\ydsvgd\Enum]
   • "Count"=dword:00000000
   • "NextInstance"=dword:00000000
   • "INITSTARTFAILED"=dword:00000001

Les valeurs des clés de registre suivantes sont supprimées:

– [HKLM\SYSTEM\CurrentControlSet\Services\VFILT]
   • "Start"

– [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess]
   • "start"

Il crée l'entrée suivante afin de passer par le Firewall de Windows XP:

– [HKLM\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\
   FirewallPolicy\StandardProfile\AuthorizedApplications\List]
   • "%WINDIR%\Explorer.EXE"="%WINDIR%\Explorer.EXE:*:Enabled:explorer"

Les clés de registre suivantes sont ajoutée:

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\
   ydsvgd]
   • "CID"="[%chaîne de caractères aléatoire%]"
   • "DllName"="ydsvgd.dll"
   • "Startup"="XWD33Sifix"
   • "Impersonate"=dword:00000001
   • "Asynchronous"=dword:00000001
   • "MaxWait"=dword:00000001

– [HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\ycsvgd.sys]
   • @="Driver"

– [HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\ycsvgd.sys]
   • @="Driver"

– [HKLM\SYSTEM\CurrentControlSet\Services\VFILT]
– [HKCU\Software\Microsoft\Internet Account Manager\Accounts]
– [HKCU\Identities\{%CLSID%}\Software\Microsoft\
   Internet Account Manager\Accounts]
– [HKCU\Software\RIT\The Bat!]

La clé de registre suivante est changée:

– [HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\
   Memory Management]
   La nouvelle valeur:
   • "EnforceWriteProtection"=dword:00000000

Porte dérobée Les ports suivants sont ouverts:

– Explorer.EXE sur le port TCP 16661 afin de fournir de capacités de porte dérobée
– Explorer.EXE sur un port TCP aléatoire afin de fonctionner comme serveur proxy Sock 5.
– Explorer.EXE sur un port TCP aléatoire afin de fournir un serveur HTTP

Serveur de contact:
Tous les suivants:
   • http://www.grci.info/**********
   • http://www.fotravel.com/**********

En conséquence il peut envoyer de l'information et fournir d'accès à distance. Ceci est fait par l'intermédiaire des méthodes PHP, HTTP GET et POST

Il envoie de l'information au sujet de:
    • Le statut courant du malware
    • Le temps de fonctionnement du Malware
    • Port ouvert

L'injection du code viral dans d'autres processus – Il injecte le fichier suivant dans un processus: %SYSDIR%\ydsvgd.dll

    Tous les processus suivants:
   • Explorer.exe
   • %Processus avec les fenêtres visibles%

La technologie Rootkit C'est une technologie spécifique au malware. Le malware cache sa présence aux utilitaires de système, applications de sécurité et à la fin, à l'utilisateur.

Il cache les suivants:
– Ses propres fichiers

– Le processus suivant:
   • Explorer.exe

La méthode utilisée:
    • Caché de Windows API

Se introduit dans la fonction API suivante: Se introduit dans les fonctions API suivantes:
   • NtCreateProcess/ZwCreateProcess
   • NtCreateProcessEx/ZwCreateProcessEx
   • NtOpenProcess/ZwOpenProcess
   • NtOpenThread/ZwOpenThread/iswxdigit
   • NtQueryDirectoryFile/ZwQueryDirectoryFile
   • NtQuerySystemInformation/RtlGetNativeSystemInformation/ZwQuerySystemInformation

Détails de fichier Logiciel de compression des fichiers exécutables:
Pour entraver la détection et pour réduire la taille du fichier il est compressé avec le logiciel de compression des exécutables suivant:
• FSG

Voir la description brève ici.

Description inséré par Monica Ghitun sur Wed, 18 Oct 2006 11:45 (GMT+1)
Description mise à jour par Adriana Popa sur Mon, 20 Nov 2006 14:17 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back