Worm/Sdbot.31364 - Worm

A voir aussi

Brève description

Description complète

Statistiques

Nom:	Worm/Sdbot.31364
La date de la découverte:	04/10/2006
Type:	Ver
En circulation:	Non
Infections signalées	Faible
Potentiel de distribution:	Moyen
Potentiel de destruction:	Moyen
Fichier statique:	Oui
Taille du fichier:	31.364 Octets
Somme de contrôle MD5:	f837afb65b5069e329c669e77af5ecc2
Version VDF:	6.36.00.77
Version IVDF:	6.36.00.93

Général Méthode de propagation:
   • Le réseau local

L'alias:
   • VirusBuster: virus Worm.SdBot.CQS

Plateformes / Systèmes d'exploitation:
   • Windows 96
   • Windows 99
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP

Effets secondaires:
   • Il modifie des registres
   • Il facilite l'accès non autorisé à l'ordinateur

Fichiers Il s'autocopie dans l'emplacement suivant:
• %SYSDIR%\dvdafw.exe

Registre Les clés de registre suivantes sont ajoutées afin d'exécuter des processus après le redémarrage:

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • "Vodkjam"="dvdafw.exe"

– HKCU\Software\Microsoft\Windows\CurrentVersion\Run
   • "Vodkjam"="dvdafw.exe"

Les clés de registre suivantes sont ajoutées afin de charger le service après le redémarrage:

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
   • "Vodkjam"="dvdafw.exe"

Infection du réseau Afin de assurer sa propagation, le malware essaye de se connecter à d'autres machines comme décrit ci-dessous.

Il s'autocopie dans les partages réseau suivants:
   • C$\Documents and Settings\All Users\Documents\
   • C$\shared
   • C$\windows\system32
   • C$\winnt\system32
   • ADMIN$\system32\

Il emploie les informations d'identification suivantes afin de gagner accès à la machine distante:

– Une liste de noms d'utilisateurs et de mots de passe:
   • password; passwd; password1; pass1234; administrator; administrateur;
      admin; guest; changeme; default; internet; accounts; accounting;
      homeuser; user1; oemuser; windows; win98; win2k; winxp; winnt;
      win2000; pass1234; peter; barbara; bruce; katie; login; loginpass;
      technical; backup; exchange; exchnge; heaven; orange; domain;
      domainpass; domainpassword; database; access; dbpass; dbpassword;
      databasepass; databasepassword; db1234; sqlpass; cisco; compaq;
      siemens; yellow; control; office; blank; winpass; capitol;
      userpassword; headoffice; nokia; internet; intranet; freddy; turnip;
      user1; student; student1; teacher; staff

Exécution à distance:
–Il essaye de programmer une exécution à distance du malware, sur la machine nouvellement infectée. Par conséquent il emploie la fonction NetScheduleJobAdd.

IRC Serveur: yep.surfforfun.net
Port: 2371
Canal: #ok
Pseudonyme: j%chaîne de caractères aléatoire de cinq digits%

– Ce Malware a la capacité de ramasser et d'envoyer des informations tel que:
    • Utilisateur courant
    • Information sur des processus courants
    • Information sur le système d'exploitation Windows

– Ensuite il a la capacité d'opérer des actions tel que:
    • Lancer des attaques DDoS SYN
    • Télécharger un fichier
    • Exécuter un fichier
    • Finir le processus
    • Scanner le réseau
    • Se mettre à jour tout seul

Informations divers Mutex:
Il crée le Mutex suivant:
• vvsdfadw

Détails de fichier Langage de programmation:
Le fichier a été écrit en MS Visual C++.

Logiciel de compression des fichiers exécutables:
Afin d'entraver la détection et de réduire la taille du fichier il est compressé avec un logiciel de compression des exécutables.

Voir la description brève ici.

Description inséré par Bogdan Iliuta sur Tue, 12 Sep 2006 11:47 (GMT+1)
Description mise à jour par Bogdan Iliuta sur Fri, 24 Nov 2006 14:54 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Retour