BDS/Agent.nin - Backdoor Server

A voir aussi

Brève description

Description complète

Statistiques

Nom:	BDS/Agent.nin
La date de la découverte:	13/11/2007
Type:	Serveur porte dérobée
En circulation:	Non
Infections signalées	Faible
Potentiel de distribution:	Faible
Potentiel de destruction:	Moyen
Fichier statique:	Oui
Taille du fichier:	53248 Octets
Somme de contrôle MD5:	0a1c9f1cfacb21ebe0ca2e5a4e017f2b
Version VDF:	7.00.00.208
Version IVDF:	7.00.00.216

Général Plateformes / Systèmes d'exploitation:
   • Windows 96
   • Windows 99
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effets secondaires:
   • Arrêt les applications de sécurité
   • Il diminue les réglages de sécurité
   • Il modifie des registres
   • Il vole de l'information
   • Il facilite l'accès non autorisé à l'ordinateur

Fichiers Il crée sa propre copie en employant un nom de fichier d'une liste:
– A: %SYSDIR\ employant un des noms suivants:
   • winhelp%chaîne de caractères aléatoire%%nombre%.exe
   • wincheck%chaîne de caractères aléatoire%%nombre%.exe
   • system%chaîne de caractères aléatoire%%nombre%.exe
   • lsas%chaîne de caractères aléatoire%%nombre%.exe
   • svctoc%chaîne de caractères aléatoire%%nombre%.exe

Il supprime sa propre copie, exécutée initialement

Registre La clé suivante est en permanence ajoutée aux registres, dans une boucle infinie, afin de lancer le processus après le redémarrage.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "Winupdates"="%SYSDIR%\%le fichier exécuté%.exe"

Il crée l'entrée suivante afin de passer par le Firewall de Windows XP:

– [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\
   FirewallPolicy\StandardProfile\AuthorizedApplications\List]
   • "%SYSDIR%\%le fichier exécuté%.exe"="%SYSDIR%\%le fichier
      exécuté%.exe:*:Enabled:\%le fichier exécuté%"

La clé de registre suivante est ajoutée:

– [HKCU\Software\Microsoft\Windows Updates\RM]

Les clés de registre suivantes sont changées:

– [HKCU\Software\Microsoft\Windows Updates]
   La nouvelle valeur:
   • "Name"="%le fichier exécuté%"
     "CurrentVersion"=dword:00000023
     "Last Update"="%la date courante% %le temps courant%"
     "Next Update"="%la date courante% %le temps courant%"
     "Id"="%numéro hexadécimal%"

– [HKLM\SOFTWARE\Microsoft\Security Center]
   La nouvelle valeur:
   • "FirewallOverride"=dword:00000001
     "AntiVirusOverride"=dword:00000001

Porte dérobée Le port suivant est ouvert:

– %SYSDIR%\%le fichier exécuté%.exe sur un port TCP aléatoire afin de fournir de capacités de porte dérobée

Serveur de contact:
Tous les suivants:
   • http://87.249.38.126/asg234/**********
   • http://87.249.38.126/asg234/update/**********

En conséquence il peut envoyer de l'information et fournir d'accès à distance. Ceci est fait par l'intermédiaire de la requête HTTP GET du script PHP.

Il envoie de l'information au sujet de:
    • Le statut courant du malware
    • Port ouvert
    • Information sur le système d'exploitation Windows

Capacités d'accès à distance:
    • Télécharger un fichier

Informations divers Il vérifie l'existence d'une connexion Internet en contactant le site web suivant:
• http://www.windowsupdate.microsoft.com

Mutex:
Il crée le Mutex suivant:
• 68E1D888-19B3-4F40-8941-95EC38E4AF69

Détails de fichier Logiciel de compression des fichiers exécutables:
Afin d'entraver la détection et de réduire la taille du fichier il est compressé avec un logiciel de compression des exécutables.

Voir la description brève ici.

Description inséré par Monica Ghitun sur Thu, 15 Nov 2007 16:48 (GMT+1)
Description mise à jour par Andrei Gherman sur Wed, 28 Nov 2007 13:10 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Retour