BDS/Akbot.I - Backdoor Server

A voir aussi

Brève description

Description complète

Statistiques

Nom:	BDS/Akbot.I
La date de la découverte:	08/01/2007
Type:	Serveur porte dérobée
En circulation:	Non
Infections signalées	Faible
Potentiel de distribution:	Moyen
Potentiel de destruction:	Moyen
Fichier statique:	Oui
Taille du fichier:	22.608 Octets
Somme de contrôle MD5:	2b66b40b1065ac3e6f7135a804f1cf3f
Version VDF:	6.36.00.090
Version IVDF:	6.36.00.106

Général Méthode de propagation:
   • Le réseau local

Les alias:
   • Mcafee: W32/Akbot.worm
   • Kaspersky: Backdoor.Win32.VanBot.ae
   • Grisoft: BackDoor.Generic3.QZZ
   • Eset: Win32/Akbot

Plateformes / Systèmes d'exploitation:
   • Windows 96
   • Windows 99
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effets secondaires:
   • Il bloque l'accès aux sites web de sécurité
   • Il crée un fichier
   • Il modifie des registres
   • Il emploie les vulnérabilités de software

Fichiers Il s'autocopie dans l'emplacement suivant:
• %SYSDIR%\savsvc.dll

Il supprime sa propre copie, exécutée initialement

Le fichier suivant est créé:

– %TEMPDIR%\UNINSTALL.BAT Ensuite, il est exécuté après avoir été completment crée. Ce fichier séquentiel est employé pour effacer un fichier.

Registre La clé de registre suivante est ajoutée afin de lancer le processus après le redémarrage:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
• "savsvc"="rundll32.exe %SYSDIR%\savsvc.dll,start"

Infection du réseau Afin de assurer sa propagation, le malware essaye de se connecter à d'autres machines comme décrit ci-dessous.

Il s'autocopie dans les partages réseau suivants:
• IPC$
• D$

La vulnérabilité:
Il se sert des vulnérabilités suivantes:
– MS04-007 (ASN.1 Vulnerability)
– MS05-039 (Vulnerability in Plug and Play)
–MS06-040 (Vulnérabilité dans Service de Serveur)

La création des adresses IP:
Il crée des adresses IP aléatoires et il essaye d'établir une connexion avec elles.
Il crée des adresses IP aléatoires tandis qu'il garde le premier octet de son propre adresse. Ensuite il essaye d'établir une connexion avec les adresses créées.
Il crée des adresses IP aléatoires tandis qu'il garde les deux premiers octets de sa propre adresse. Après il essaye d'établir une connexion avec les adresses créées.
Il crée des adresses IP aléatoires, en utilisant seulement les premiers trois octets de sa propre adresse. Ensuite il essaye de contacter les adresses crées.

Le processus d'infection:
Il crée un script FTP sur la machine compromise afin de télécharger le malware vers l'emplacement distant.

Ralentissement de connexion:
– Vous pourriez également constater un léger ralentissement du système dû aux multiples fils d'exécution créés en réseau.

Hôtes – Dans ce cas les entrées existantes sont écrasées

– L'accès aux liens URL suivants est effectivement bloqué :
   • www.symantec.com; securityresponse.symantec.com; symantec.com;
      www.sophos.com; sophos.com; www.mcafee.com; mcafee.com;
      liveupdate.symantecliveupdate.com; www.viruslist.com; viruslist.com;
      viruslist.com; f-secure.com; www.f-secure.com; kaspersky.com;
      kaspersky-labs.com; www.kaspersky.com; www.networkassociates.com;
      networkassociates.com; www.ca.com; ca.com; mast.mcafee.com;
      my-etrust.com; www.my-etrust.com; download.mcafee.com;
      dispatch.mcafee.com; secure.nai.com; nai.com; www.nai.com;
      update.symantec.com; updates.symantec.com; us.mcafee.com;
      liveupdate.symantec.com; customer.symantec.com; rads.mcafee.com;
      trendmicro.com; pandasoftware.com; www.pandasoftware.com;
      www.trendmicro.com; www.grisoft.com; www.microsoft.com; microsoft.com;
      update.microsoft.com; www.virustotal.com; virustotal.com;
      www.ahnlab.com; suc.ahnlab.com; auth.ahnlab.com; ahnlab.com

Le fichier hôte modifié ressemblera à ceci:

Porte dérobée Serveur de contact:
Le suivant:
   • gen.phatnet.**********:10100

En conséquence il peut envoyer de l'information et fournir d'accès à distance.

Il envoie de l'information au sujet de:
    • Utilisateur courant
    • Mémoire libre
    • L'adresse IP:
    • Taille de mémoire
    • Information sur le système d'exploitation Windows

Capacités d'accès à distance:
    • Lancer des attaques DDoS ICMP
    • Lancer des attaques DDoS SYN
    • Lance des attaques DDoS UDP
    • Télécharger un fichier
    • Démarrer une routine de propagation

Informations divers Mutex:
Il crée le Mutex suivant:
• savvy.1

Détails de fichier Langage de programmation:
Le fichier a été écrit en MS Visual C++.

Logiciel de compression des fichiers exécutables:
Pour entraver la détection et pour réduire la taille du fichier il est compressé avec le logiciel de compression des exécutables suivant:
• PEtite 2.2

Voir la description brève ici.

Description inséré par Monica Ghitun sur Mon, 08 Jan 2007 13:03 (GMT+1)
Description mise à jour par Monica Ghitun sur Thu, 11 Jan 2007 11:24 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Retour