Worm/SdBot.138752.8 - Worm

A voir aussi

Brève description

Description complète

Statistiques

Nom:	Worm/SdBot.138752.8
La date de la découverte:	20/08/2007
Type:	Ver
En circulation:	Oui
Infections signalées	Faible
Potentiel de distribution:	Faible a moyen
Potentiel de destruction:	Moyen
Fichier statique:	Oui
Taille du fichier:	138.752 Octets
Somme de contrôle MD5:	5101877e880Eae72419d17cef84ee9b9
Version IVDF:	6.39.01.22

Général Méthode de propagation:
   • Programme de messagerie

Les alias:
   • Mcafee: W32/Sdbot.worm
   • Kaspersky: Backdoor.Win32.SdBot.blt
   • Eset: Win32/IRCBot.YW

Plateformes / Systèmes d'exploitation:
   • Windows 99
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effets secondaires:
   • Arrêt les applications de sécurité
   • Il crée des fichiers
   • Il diminue les réglages de sécurité
   • Il modifie des registres
   • Il emploie les vulnérabilités de software
   • Il vole de l'information
   • Il facilite l'accès non autorisé à l'ordinateur

Fichiers Il s'autocopie dans l'emplacement suivant:
   • %WINDIR%\winsyshp.exe

Il se copie dans des fichiers compressés à l'emplacement suivant :
   • %WINDIR%\img317.zip

Il supprime le fichier suivant:
   • C:\a.bat

Le fichier suivant est créé:

– C:\a.bat Ensuite, il est exécuté après avoir été completment crée. Ce fichier séquentiel est employé pour effacer un fichier.

Il essaie d’exécuter les fichiers suivants :

– Nom de fichier: Noms des fichiers:
   • %SYSDIR%\net.exe
Il exécute le fichier avec les paramètres suivantes : stop "Security Center"

– Nom de fichier: Noms des fichiers:
   • %SYSDIR%\net.exe
Il exécute le fichier avec les paramètres suivantes : stop winvnc4

– Nom de fichier: Noms des fichiers:
   • %SYSDIR%\net1.exe
Il exécute le fichier avec les paramètres suivantes : stop "Security Center"

– Nom de fichier: Noms des fichiers:
   • %SYSDIR%\net1.exe
Il exécute le fichier avec les paramètres suivantes : stop winvnc4

Registre La clé de registre suivante est ajoutée afin de lancer le processus après le redémarrage:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
• "Microsoft Visual Application"="winsyshp.exe"

Programme de messagerie Il se répand par l'intermédiaire du programme de messagerie. Les caractéristiques sont décrites ci-dessous:

– MSN Messenger

Message
Le message envoyé ressemble à un des suivants:

   • Why is this picture blurry?

   • Look @ my new car?

   • Where did you find this picture?

   • why did you show me this picture?

   • look at my baby picture

   • Did you see this?

   • Where is this picture taken?

   • Did you take this picture?

   • you drunk 2 much in this picture

   • Why are you naked in this picture?

   • look @ this

   • accept this picture

   • hey, mom my just told me 2 show this 2 you

Propagation pas fichier
Il envoie un fichier avec le nom suivant:
   • img317.zip

IRC Afin de fournir des informations sur le système et un accès à distance, il se connecte au serveur IRC suivant:

Serveur: pwn.basecore.**********
Port: 1863
Le mot de passe du serveur: letmein
Canal: #PWN#
Pseudonyme: %chaîne de caractères aléatoire%
Mot de passe: torrent

– Ce Malware a l'habilité de ramasser et d'envoyer l'information suivante:
    • Le temps de fonctionnement du Malware
    • Information sur le système d'exploitation Windows

– Ensuite il a la capacité d'opérer des actions tel que:
    • se déconnecter du serveur IRC
    • Télécharger un fichier
    • Exécuter un fichier
    • Finir le processus
    • Redémarrer le système
    • Démarrer une routine de propagation
    • Se mettre à jour tout seul

Arrêt de processus: La liste des services qui sont désactivés:
• Security Center
• winvnc4

Informations divers Mutex:
Il crée le Mutex suivant:
• fjasdf

Détails de fichier Logiciel de compression des fichiers exécutables:
Afin d'entraver la détection et de réduire la taille du fichier il est compressé avec un logiciel de compression des exécutables.

Voir la description brève ici.

Description inséré par Adriana Popa sur Fri, 09 Nov 2007 13:02 (GMT+1)
Description mise à jour par Adriana Popa sur Fri, 09 Nov 2007 13:15 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back