Nume:Worm/IRCBot.AZ.58
Descoperit pe data de:06/09/2005
Tip:Vierme
ITW:Nu
Numar infectii raportate:Scazut
Potential de raspandire:Mediu
Potential de distrugere:Mediu
Fisier static:Da
Marime:110.181 Bytes
MD5:4c6f497013fa84ddae063c3915c3bf62
Versiune VDF:6.31.0.220

 General Metode de raspandire:
   • Reteaua locala
   • Discuri de retea mapate


Alias:
   •  Symantec: W32.Spybot.Worm
   •  Mcafee: W32/Pate.dr
   •  Kaspersky: Backdoor.Win32.IRCBot.az
   •  TrendMicro: BKDR_IRCBOT.AL
   •  F-Secure: W32/Sdbot.LEZ
   •  VirusBuster: Worm.RBot.CAC
   •  Bitdefender: Backdoor.SDBot.358ABA45


Sistem de operare:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows 2000
   • Windows XP


Efecte secundare:
   • Utilizeaza propriul motor de email
   • Inregistreaza intrarile de la tastatura
   • Modificari in registri
   • Profita de vulnerabilitatile softului
   • Sustrage informatii
   • Posibilitatea accesului neautorizat la computer

 Fisiere Se copiaza in urmatoarea locatie:
   • %SYSDIR%\tesakrmger.exe



Sterge copia initiala a virusului.

 Registrii sistemului Urmatoarele chei sunt adaugate in registri pentru a rula procesul la repornirea sistemului:

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • "Windeows NetStart Service2"="tesakrmger.exe"

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
   • "Windeows NetStart Service2"="tesakrmger.exe"



Se adauga in registrii sistemului:

– HKCU\Software\Microsoft\OLE
   • "Windeows NetStart Service2"="tesakrmger.exe

 Reţea Pentru a-si asigura raspandirea, programul malware incearca sa contacteze alte sisteme, asa cum este descris in continuare:

Creeaza copii malware in urmatoarele share-uri de retea:
   • IPC$
   • Admin$\system32
   • c$\winnt\system32
   • c$\windows\system32


Foloseste urmatoarele date de logare, pentru a controla sistemul la distanta:

–Utilizatori si parole inregistrate.

– Lista de utilizatori:
   • accounting; accounts; admin; administrador; administrat;
      administrateur; administrator; admins; bill; bob; brian; chris;
      computer; database; default; eric; fred; george; guest; home;
      homeuser; ian; internet; intranet; jen; joe; john; kate; katie; lee;
      luke; mary; mike; neil; oem; oeminstall; oemuser; oracle; owner;
      peter; root; sam; staff; student; sue; susan; teacher; user; windows;
      bob; wwwadmin

– Lista de parole:
   • 7; 123; 1234; 2000; 2001; 2002; 2003; 2004; 12345; 123456; 1234567;
      12345678; 123456789; 1234567890; access; adm; admin; administrador;
      administrat; administrateur; administrator; admins; asd; backup;
      bitch; blank; changeme; cisco; compaq; control; data; database;
      databasepass; databasepassword; db1; db1234; db2; dbpass; dbpassword;
      default; dell; demo; domain; domainpass; domainpassword; exchange;
      fuck; god; guest; hell; hello; ibm; internet; lan; linux; login;
      loginpass; mail; main; nokia; none; null; office; oracle; orainstall;
      outlook; pass; pass1234; passwd; password; password1; pwd; qaz; qwe;
      qwerty; root; server; sex; siemens; slut; sql; sqlpassoainstall;
      system; technical; test; unix; web; win2000; win2k; win98; winnt;
      winpass; winxp; www; zxc



Exploit:
Foloseste urmatoarele vulnerabilitati:
– MS02-061 (Elevation of Privilege in SQL Server Web)
– MS03-026 (Buffer Overrun in RPC Interface)
– MS03-039 (Buffer Overrun in RPCSS Service)
– MS03-049 (Buffer Overrun in the Workstation Service)
– MS04-011 (LSASS Vulnerability)
– MS05-039 (Vulnerability in Plug and Play)
– Bagle backdoor (port 2745)
– Kuang backdoor (port 17300)
– Mydoom backdoor (port 3127)
– NetDevil backdoor (port 903)
– Optix backdoor (port 3140)
– SubSeven backdoor (port 27347)
– Administrare remote DameWare (port 6129)


Generarea adreselor IP:
Creeaza adrese IP aleatoare, pastrand doar primii doi octeti din propria adresa. Apoi incearca sa contacteze adresele create.


Procesul de infectare:
Creeaza un script TFTP sau FTP pe masina afectata, pentru a descarca malware la distanta, pe un alt sistem.


Reducerea vitezei:
–Declanseaza multiple surse de infectare.
– In functie de largimea benzii, puteti observa o cadere in viteza retelei. Acest malware are o activitate medie in retea, pe care e posibil sa nu o remarcati in cazul conectarii broadband.
– Este posibila si o incetinire a sistemului, datorita multiplelor accesari ale retelei.

 IRC Pentru a trimite informatii si pentru a fi controlat se conecteaza la serverul IRC:

Server: wiched.unstable**********.info
Port: 6667
Canal: #Ownerz
Nick: USA|%combinatie de caractere aleatoare%
Parola: netown3rz



– Acest malware poate obtine si trimite infomatii cum ar fi:
    • Parole retinute
    • Captura ecranului
    • Captura imagine de pe webcam
    • Viteza procesorului
    • Utilizatorul curent
    • Informatii despre drivere
    • Spatiu liber pe disc
    • Memorie nealocata
    • Timpul de cand malware-ul a fost lansat in executie
    • Informatii despre retea
    • Informatii despre procesele sistemului
    • Cantitatea de memorie
    • Director sistem
    • Utilizator
    • Directorul Windows


– In plus, poate efectua urmatoarele operatii:
    • Lanseaza atacuri DDoS ICMP
    • Lanseaza atacuri DDoS SYN
    • Lanseaza atacuri DDoS TCP
    • Lanseaza atacuri DDoS UDP
    • dezactivare DCOM
    • dezactivarea partajarii de resurse in retea
    • descarcare fisier
    • editare registru sistem
    • activare DCOM
    • activarea partajarii de resurse in retea
    • executarea unui fisier
    • intrare pe canal IRC
    • terminare proces
    • parasire canal IRC
    • deschidere consola
    • executare atac DDoS
    • Scaneaza reteaua
    • redirectionare porturi
    • Inregistreaza un serviciu
    • repornirea sistemului
    • trimitere email-uri
    • Porneste keylog
    • Porneste rutina de raspandire
    • terminare proces
    • Se actualizeaza singur
    • Vizitarea unui website

 Backdoor Deschide porturile:

– %SYSDIR%\tesakrmger.exe pe portul TCP 80 pentru a functiona ca server HTTP.
– %SYSDIR%\tesakrmger.exe port TCP aleator pentru a functiona ca server FTP.
– %SYSDIR%\tesakrmger.exe pe portul UDP 69 pentru a oferi un server TFTP.

 Furt de informatii Incearca sa obtina urmatoarele informatii:
– Windows Product ID

– Urmatoarele CD-keys:
   • Soldier of Fortune II - Double Helix; Battlefield 1942; Battlefield
      1942 (Road To Rome); Battlefield 1942 (Secret Weapons of WWII);
      Battlefield Vietnam; Black and White; Chrome; Command and Conquer:
      Generals; Command and Conquer: Generals (Zero Hour); Command and
      Conquer: Red Alert; Command and Conquer: Red Alert 2; Command and
      Conquer: Tiberian Sun; Counter-Strike (Retail)"; FIFA 2002; FIFA 2003;
      Freedom Force; Global Operations; Gunman Chronicles; Half-Life; Hidden
      & Dangerous 2; IGI 2: Covert Strike; Industry Giant 2; James Bond 007:
      Nightfire; Legends of Might and Magic; Medal of Honor: Allied Assault;
      Medal of Honor: Allied Assault: Breakthrough; Medal of Honor: Allied
      Assault: Spearhead; mtkwftmkemfew3p3b7; Nascar Racing 2002; Nascar
      Racing 2003; Need For Speed Hot Pursuit 2; Need For Speed:
      Underground; Neverwinter Nights; Neverwinter Nights (Hordes of the
      Underdark); Neverwinter Nights (Shadows of Undrentide); NHL 2002; NHL
      2003; NOX; Rainbow Six III RavenShield; Shogun: Total War: Warlord
      Edition; Soldiers Of Anarchy; The Gladiators; Unreal Tournament 2003;
      Unreal Tournament 2004

– Monitorizeaza reteaua folosind un sniffer si cauta urmatoarele siruri de caractere:
   • :.login; :,login; :!login; :@login; :$login; :%login; :^login;
      :&login; :*login; :-login; :+login; :/login; :\login; :=login;
      :?login; :'login; :`login; :~login; : login; :.auth; :,auth; :!auth;
      :@auth; :$auth; :%auth; :^auth; :&auth; :*auth; :-auth; :+auth;
      :/auth; :\auth; :=auth; :?auth; :'auth; :`auth; :~auth; : auth; :.id;
      :,id; :!id; :@id; :$id; :%id; :^id; :&id; :*id; :-id; :+id; :/id;
      :\id; :=id; :?id; :'id; :`id; :~id; : id; :.hashin; :!hashin;
      :$hashin; :%hashin; :.secure; :!secure; :.l; :!l; :$l; :%l; :.x; :!x;
      :$x; :%x; :.syn; :!syn; :$syn; :%syn

– O rutina de logare este pornita dupa ce se tasteaza unul din urmatorele texte:
   • USER
   • PASS
   • paypal
   • PAYPAL
   • paypal.com
   • PAYPAL.COM

 Alte informatii Mutex:
Creeaza urmatorul mutex:
   • mansorbetaf1le


Sir de caractere:
In plus, mai contine urmatorul sir de caractere:
   • netmaniac was here

 Detaliile fisierului Limbaj de programare:
 Limbaj de programare folosit: C (compilat cu Microsoft Visual C++).


Compresia fisierului:
Pentru a ingreuna detectia si a reduce marimea fisierului, sunt folosite urmatoarele programe de arhivare:
   • PE_Patch;
   • MewBundle;
   • MEW;
   • NSPack;

Descrizione inserita da Irina Boldea su martedì 6 settembre 2005
Descrizione aggiornata da Irina Boldea su lunedì 19 settembre 2005

Indietro . . . .