Ha bisogno di assistenza? Chieda alla community oppure consulti un esperto.
Vai ad Avira Answers
Nome del virus:Worm/IRCBot.AZ.58
Scoperto:13/12/2012
Tipo:Worm
In circolazione (ITW):No
Numero delle infezioni segnalate:Basso
Potenziale di propagazione:Medio
Potenziale di danni:Medio
File statico:Si
Dimensione del file:110.181 Byte
Somma di controllo MD5:4c6f497013fa84ddae063c3915c3bf62
Versione VDF:7.11.53.216

 Generale Metodi di propagazione:
   • Rete locale
   • Unitdi rete mappata


Alias:
   •  Symantec: W32.Spybot.Worm
   •  Mcafee: W32/Pate.dr
   •  Kaspersky: Backdoor.Win32.IRCBot.az
   •  TrendMicro: BKDR_IRCBOT.AL
   •  F-Secure: W32/Sdbot.LEZ
   •  VirusBuster: Worm.RBot.CAC
   •  Bitdefender: Backdoor.SDBot.358ABA45


Piattaforme / Sistemi operativi:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows 2000
   • Windows XP


Effetti secondari:
   • Utilizza un proprio motore SMTP per l'invio di email
   • Registra le battute di tastiera
   • Modifica del registro
   • Sfrutta la vulnerabilit del software
   • Sottrae informazioni
   • Accesso e controllo del computer da parte di terzi

 File Si copia alla seguente posizione:
   • %SYSDIR%\tesakrmger.exe



Cancella la copia di se stesso eseguita inizialmente.

 Registro Le seguenti chiavi di registro vengono aggiunte per eseguire i processi dopo il riavvio:

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • "Windeows NetStart Service2"="tesakrmger.exe"

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
   • "Windeows NetStart Service2"="tesakrmger.exe"



Viene aggiunta la seguente chiave di registro:

HKCU\Software\Microsoft\OLE
   • "Windeows NetStart Service2"="tesakrmger.exe

 Infezione della rete Per assicurarsi la propria propagazione, il malware tenta di connettersi ad altre macchine come descritto qui sotto:

Fa pi copie di se stesso nelle seguenti condivisioni di rete:
   • IPC$
   • Admin$\system32
   • c$\winnt\system32
   • c$\windows\system32


Utilizza le seguenti informazioni di login per aprirsi l'accesso alla macchina remota:

Nomi Utente e Password presenti nella cache.

La seguente lista di Nomi Utente:
   • accounting; accounts; admin; administrador; administrat;
      administrateur; administrator; admins; bill; bob; brian; chris;
      computer; database; default; eric; fred; george; guest; home;
      homeuser; ian; internet; intranet; jen; joe; john; kate; katie; lee;
      luke; mary; mike; neil; oem; oeminstall; oemuser; oracle; owner;
      peter; root; sam; staff; student; sue; susan; teacher; user; windows;
      bob; wwwadmin

La seguente lista di Password:
   • 7; 123; 1234; 2000; 2001; 2002; 2003; 2004; 12345; 123456; 1234567;
      12345678; 123456789; 1234567890; access; adm; admin; administrador;
      administrat; administrateur; administrator; admins; asd; backup;
      bitch; blank; changeme; cisco; compaq; control; data; database;
      databasepass; databasepassword; db1; db1234; db2; dbpass; dbpassword;
      default; dell; demo; domain; domainpass; domainpassword; exchange;
      fuck; god; guest; hell; hello; ibm; internet; lan; linux; login;
      loginpass; mail; main; nokia; none; null; office; oracle; orainstall;
      outlook; pass; pass1234; passwd; password; password1; pwd; qaz; qwe;
      qwerty; root; server; sex; siemens; slut; sql; sqlpassoainstall;
      system; technical; test; unix; web; win2000; win2k; win98; winnt;
      winpass; winxp; www; zxc



Exploit:
Sfrutta le seguenti vulnerabilit:
– MS02-061 (Elevation of Privilege in SQL Server Web)
– MS03-026 (Buffer Overrun in RPC Interface)
– MS03-039 (Buffer Overrun in RPCSS Service)
– MS03-049 (Buffer Overrun in the Workstation Service)
– MS04-011 (LSASS Vulnerability)
– MS05-039 (Vulnerability in Plug and Play)
 Bagle backdoor (port 2745)
 Kuang backdoor (port 17300)
 Mydoom backdoor (port 3127)
 NetDevil backdoor (port 903)
 Optix backdoor (port 3140)
 SubSeven backdoor (port 27347)
 DameWare remote administration (port 6129)


Generazione dell'indirizzo IP:
Crea degli indirizzi IP casuali mentre mantiene i primi due ottetti dal proprio indirizzo. In seguito prova a stabilire una connessione con gli indirizzi creati.


Processo virale:
Crea uno script TFTP o FTP sulla macchina compromessa per scaricare il malware nella posizione remota.


Rallentamento:
Crea multipli thread infetti.
In funzione della larghezza di banda si potrebbe notare un rallentamento nella velocit della rete. Si potrebbe comunque non notarlo nel caso in cui il livello di attivit di rete per questo malware risulti medio e se la connessione di rete a banda larga.
Inoltre si potrebbe notare un rallentamento dovuto ai multipli thread di rete creati.

 IRC Per inviare informazioni sul sistema e per fornire il controllo remoto, si connette al seguente server IRC:

Server: wiched.unstable**********.info
Porta: 6667
Canale: #Ownerz
Nickname: USA|%stringa di caratteri casuale%
Password: netown3rz



 Questo malware ha la capacit di recuperare ed inviare informazioni quali:
    • Password memorizzate nella cache
    • Immagine catturata dallo schermo
    • Immagine catturata dalla webcam
    • Velocit della CPU
    • Utente corrente
     Dettagli sui driver
    • Spazio libero su disco
    • Memoria libera
    • Uptime del malware
    • Informazioni sulla rete
    • Informazioni sui processi in corso
    • Dimensione della memoria
    • Directory di sistema
    • Nome Utente
    • Directory di Windows


 In pi ha la capacit di effettuare azioni quali:
     Lanciare un attacco DdoS ICMP
     Lanciare un attacco DdoS SYN
    • Lancia un attacco DdoS TCP
     Lancia un attacco DdoS UDP
    • Disattivare DCOM
    • Disattivare le condivisioni di rete
    • Download di file
    • Modificare il registro
    • Attivare DCOM
    • Attivare le condivisioni di rete
    • Eseguire file
    • Connettersi al canale IRC
    • Terminare il processo
    • Abbandonare il canale IRC
    • Aprire condivisione remota
    • Eseguire un attacco DdoS
     Effettuare scansione della rete
    • Effettuare un reindirizzamento delle porte
     Registrare un servizio
    • Riavviare il sistema
    • Inviare email
     Inizia keylog
     Iniziare procedura di diffusione
    • Terminare il processo
     Aggiornarsi
     Visitare un sito web

 Backdoor Le seguenti porte sono aperte:

%SYSDIR%\tesakrmger.exe sulla porta TCP 80 con lo scopo di procurarsi un server HTTP.
%SYSDIR%\tesakrmger.exe su una porta TCP casuale con lo scopo di procurarsi un server FTP.
%SYSDIR%\tesakrmger.exe sulla porta UDP 69 con lo scopo di procurarsi un server TFTP.

 Sottrazione di informazioni Prova a sottrarre le seguenti informazioni:
– Windows Product ID

Le seguenti chiavi CD:
   • Soldier of Fortune II - Double Helix; Battlefield 1942; Battlefield
      1942 (Road To Rome); Battlefield 1942 (Secret Weapons of WWII);
      Battlefield Vietnam; Black and White; Chrome; Command and Conquer:
      Generals; Command and Conquer: Generals (Zero Hour); Command and
      Conquer: Red Alert; Command and Conquer: Red Alert 2; Command and
      Conquer: Tiberian Sun; Counter-Strike (Retail)"; FIFA 2002; FIFA 2003;
      Freedom Force; Global Operations; Gunman Chronicles; Half-Life; Hidden
      & Dangerous 2; IGI 2: Covert Strike; Industry Giant 2; James Bond 007:
      Nightfire; Legends of Might and Magic; Medal of Honor: Allied Assault;
      Medal of Honor: Allied Assault: Breakthrough; Medal of Honor: Allied
      Assault: Spearhead; mtkwftmkemfew3p3b7; Nascar Racing 2002; Nascar
      Racing 2003; Need For Speed Hot Pursuit 2; Need For Speed:
      Underground; Neverwinter Nights; Neverwinter Nights (Hordes of the
      Underdark); Neverwinter Nights (Shadows of Undrentide); NHL 2002; NHL
      2003; NOX; Rainbow Six III RavenShield; Shogun: Total War: Warlord
      Edition; Soldiers Of Anarchy; The Gladiators; Unreal Tournament 2003;
      Unreal Tournament 2004

Utilizza uno sniffer di rete che verifica la presenza delle seguenti stringhe:
   • :.login; :,login; :!login; :@login; :$login; :%login; :^login;
      :&login; :*login; :-login; :+login; :/login; :\login; :=login;
      :?login; :'login; :`login; :~login; : login; :.auth; :,auth; :!auth;
      :@auth; :$auth; :%auth; :^auth; :&auth; :*auth; :-auth; :+auth;
      :/auth; :\auth; :=auth; :?auth; :'auth; :`auth; :~auth; : auth; :.id;
      :,id; :!id; :@id; :$id; :%id; :^id; :&id; :*id; :-id; :+id; :/id;
      :\id; :=id; :?id; :'id; :`id; :~id; : id; :.hashin; :!hashin;
      :$hashin; :%hashin; :.secure; :!secure; :.l; :!l; :$l; :%l; :.x; :!x;
      :$x; :%x; :.syn; :!syn; :$syn; :%syn

Dopo aver digitato con la tastiera una stringa che corrisponde a una delle seguenti, viene avviata una procedura di tracciamento:
   • USER
   • PASS
   • paypal
   • PAYPAL
   • paypal.com
   • PAYPAL.COM

 Varie Mutex:
Crea il seguente Mutex:
   • mansorbetaf1le


Stringa:
In pi contiene la seguente stringa:
   • netmaniac was here

 Dettagli del file Linguaggio di programmazione:
Il malware stato scritto in MS Visual C++.


Software di compressione:
Per complicarne l'individuazione e ridurre la dimensione del file, viene compresso con i seguenti software di compressione:
   • PE_Patch;
   • MewBundle;
   • MEW;
   • NSPack;

Descrizione inserita da Irina Boldea su martedì 6 settembre 2005
Descrizione aggiornata da Irina Boldea su lunedì 19 settembre 2005

Indietro . . . .
https:// Questa finestra è criptata per tua sicurezza.