Worm/Sdbot.19212 - Worm

A voir aussi

Brève description

Description complète

Statistiques

Nom:	Worm/Sdbot.19212
La date de la découverte:	02/11/2006
Type:	Ver
En circulation:	Non
Infections signalées	Faible
Potentiel de distribution:	Moyen à élevé
Potentiel de destruction:	Moyen
Fichier statique:	Oui
Taille du fichier:	19.212 Octets
Somme de contrôle MD5:	d810a7a72bb1b9ea13a691ae8f85353f
Version VDF:	6.36.00.117
Version IVDF:	6.36.00.134

Général Méthodes de propagation:
   • Le réseau local
   • Programme de messagerie

Les alias:
   • Mcafee: W32/Sdbot.worm.gen.h
   • Sophos: Mal/Behav-057
   • Grisoft: BackDoor.Generic3.RZA
   • Eset: Win32/IRCBot.UE
   • Bitdefender: Generic.PWStealer.724E7E99

Plateformes / Systèmes d'exploitation:
   • Windows 96
   • Windows 99
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effets secondaires:
   • Il modifie des registres
   • Il emploie les vulnérabilités de software
   • Il facilite l'accès non autorisé à l'ordinateur

Fichiers Il s'autocopie dans l'emplacement suivant:
• %SYSDIR%\dllcache\updtftpini.exe

Il supprime sa propre copie, exécutée initialement

Registre Les clés de registre suivantes sont ajoutées afin de charger le service après le redémarrage:

– [HKLM\SYSTEM\CurrentControlSet\Services\Microsoft windows FTPd\
   Security]
   • "Security"=%valeurs hexa%

– [HKLM\SYSTEM\CurrentControlSet\Services\Microsoft windows FTPd]
   • "Type"=dword:00000110
     "Start"=dword:00000002
     "ErrorControl"=dword:00000000
     "ImagePath"="%SYSDIR%\dllcache\updtftpini.exe"
     "DisplayName"="Microsoft windows FTPd"
     "ObjectName"="LocalSystem"
     "FailureActions"=%valeurs hexa%
     "Description"="Windows security FTPd update"

– [HKLM\SYSTEM\CurrentControlSet\Services\Microsoft windows FTPd\
   Enum]
   • "0"="Root\\LEGACY_MICROSOFT_WINDOWS_FTPD\\0000"
     "Count"=dword:00000001
     "NextInstance"=dword:00000001

Les clés de registre suivantes sont ajoutée:

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\
   LEGACY_MICROSOFT_WINDOWS_FTPD]
   • "NextInstance"=dword:00000001

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\
   LEGACY_MICROSOFT_WINDOWS_FTPD\0000]
   • "Service"="Microsoft windows FTPd"
   • "Legacy"=dword:00000001
   • "ConfigFlags"=dword:00000000
   • "Class"="LegacyDriver"
   • "ClassGUID"="{8ECC055D-047F-11D1-A537-0000F8753ED1}"
   • "DeviceDesc"="Microsoft windows FTPd"

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\
   LEGACY_MICROSOFT_WINDOWS_FTPD\0000\Control]
   • "*NewlyCreated*"=dword:00000000
   • "ActiveService"="Microsoft windows FTPd"

La clé de registre suivante est changée:

– [HKLM\SYSTEM\ControlSet001\Control\ServiceCurrent]
   La nouvelle valeur:
   • @=dword:0000000d

Programme de messagerie Il se répand par l'intermédiaire du programme de messagerie. Les caractéristiques sont décrites ci-dessous:

– AIM Messenger

Infection du réseau Afin de assurer sa propagation, le malware essaye de se connecter à d'autres machines comme décrit ci-dessous.

Il s'autocopie dans les partages réseau suivants:
   • C$
   • D$

Il emploie les informations d'identification suivantes afin de gagner accès à la machine distante:

–Les noms d'utilisateurs et les mots de passe en antémémoire.

– Une liste de noms d'utilisateurs et de mots de passe:
   • www; windows; web; visitor; test2; test1; test; temp; telnet; ruler;
      remote; real; random; qwerty; public; pub; private; poiuytre;
      password; passwd; passoracle; one; nopass; nobody; nick; newpass; new;
      network; monitor; money; manager; mail; login; internet; install;
      hello; guest; free; demo; default; debug; database; crew; computer;
      coffee; bin; beta; backup; backdoor; anonymous; anon; alpha; adm;
      access; abc123; abc; system; sys; super; sql; shit; shadow; setup;
      security; secure; secret; 123456789; 12345678; 1234567; 123456; 12345;
      1234; 123; 00000000; 0000000; 000000; 00000; 0000; 000; server;
      asdfgh; admin; root

La vulnérabilité:
Il se sert des vulnérabilités suivantes:
– MS02-061 (Elevation of Privilege in SQL Server Web)
– MS04-007 (ASN.1 Vulnerability)
–MS06-040 (Vulnérabilité dans Service de Serveur)

La création des adresses IP:
Il crée des adresses IP aléatoires tandis qu'il garde les deux premiers octets de sa propre adresse. Après il essaye d'établir une connexion avec les adresses créées.

Le processus d'infection:
Il crée un script FTP sur la machine compromise afin de télécharger le malware vers l'emplacement distant.

IRC Afin de fournir des informations sur le système et un accès à distance, il se connecte au serveur IRC suivant:

Serveur: freedoom.suicidegaming.**********
Port: 4512
Canal: #sm
Pseudonyme: [%nombre%]USA|%la version de Windows%-SP%nombre%[P]%chaîne de caractères aléatoire de six digits%
Mot de passe: 2pac

– Ce Malware a la capacité de ramasser et d'envoyer des informations tel que:
    • L'ID de la plateforme
    • Information sur le système d'exploitation Windows

– Ensuite il a la capacité d'opérer des actions tel que:
    • se connecter au serveur IRC
    • Lancer des attaques DDoS SYN
    • se déconnecter du serveur IRC
    • Télécharger un fichier
    • Exécuter un fichier
    • Joindre le canal IRC
    • Quitter la canal IRC
    • Scanner le réseau
    • Opérer la redirection d'un certain port
    • Arrêter le système
    • Commence le keylog
    • Démarrer une routine de propagation
    • Se mettre à jour tout seul

Porte dérobée Les ports suivants sont ouverts:

– %SYSDIR%\dllcache\updtftpini.exe sur un port TCP aléatoire afin de fournir un serveur FTP
– %SYSDIR%\dllcache\updtftpini.exe sur un port TCP aléatoire afin de fournir un serveur HTTP

Informations divers Mutex:
Il crée le Mutex suivant:
• windxws

Détails de fichier Langage de programmation:
Le fichier a été écrit en MS Visual C++.

Logiciel de compression des fichiers exécutables:
Afin d'entraver la détection et de réduire la taille du fichier il est compressé avec un logiciel de compression des exécutables.

Voir la description brève ici.

Description inséré par Monica Ghitun sur Thu, 02 Nov 2006 16:02 (GMT+1)
Description mise à jour par Monica Ghitun sur Tue, 21 Nov 2006 15:04 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Retour