Nome del virus:Worm/IRCBot.GT
Scoperto:20/09/2005
Tipo:Worm
In circolazione (ITW):No
Numero delle infezioni segnalate:Basso
Potenziale di propagazione:Medio
Potenziale di danni:Medio
File statico:Si
Dimensione del file:174.080 Byte
Somma di controllo MD5:0AC7EE395802E4B3D25D6755E7F2C9D2
Versione VDF:6.32.0.17

 Generale Metodo di propagazione:
   • Rete locale


Alias:
   •  Kaspersky: Backdoor.Win32.IRCBot.gt


Piattaforme / Sistemi operativi:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003


Effetti secondari:
   • Modifica del registro
   • Sfrutta la vulnerabilità del software
   • Accesso e controllo del computer da parte di terzi

 File Si copia alla seguente posizione:
   • %SYSDIR%\sys32.pif



Cancella la copia di se stesso eseguita inizialmente.

 Registro Le seguenti chiavi di registro vengono aggiunte per eseguire i processi dopo il riavvio:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "Windows System Security"="sys32.pif"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
   • "Windows System Security"="sys32.pif"

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "Windows System Security"="sys32.pif"

– [HKCU\Software\Microsoft\Windows\CurrentVersion\RunServices]
   • "Windows System Security"="sys32.pif"



Vengono aggiunte le seguenti chiavi di registro:

– [HKLM\SOFTWARE\Microsoft\Ole]
   • "Windows System Security"="sys32.pif"

– [HKLM\SYSTEM\CurrentControlSet\Control\Lsa]
   • "Windows System Security"="sys32.pif"

– [HKCU\Software\Microsoft\OLE]
   • "Windows System Security"="sys32.pif"

– [HKCU\SYSTEM\CurrentControlSet\Control\Lsa]
   • "Windows System Security"="sys32.pif"

– [HKCR\.key]
   • @="regfile"

 “Infezione” della rete Per assicurarsi la propria propagazione, il malware tenta di connettersi ad altre macchine come descritto qui sotto:

Fa più copie di se stesso nelle seguenti condivisioni di rete:
   • D:\
   • C:\
   • ADMIN$
   • IPC$


Exploit:
Sfrutta le seguenti vulnerabilità:
– MS03-026 (Buffer Overrun in RPC Interface)
– MS03-049 (Buffer Overrun in the Workstation Service)
– MS04-007 (ASN.1 Vulnerability)
– MS05-039 (Vulnerability in Plug and Play)


Generazione dell'indirizzo IP:
Crea degli indirizzi IP casuali mentre mantiene il primo ottetto dal proprio indirizzo. In seguito prova a stabilire una connessione con gli indirizzi creati.


Processo virale:
Crea uno script FTP sulla macchina compromessa per scaricare il malware nella posizione remota.


Rallentamento:
–Crea multipli thread “infetti”.
– In funzione della larghezza di banda potrebbe verificarsi un leggero rallentamento nella velocità della rete. Si potrebbe comunque non notarlo nel caso in cui il livello di attività di rete per questo malware risulti basso.
– A causa dei multipli thread di rete creati, un computer “infetto” diventa una macchina lenta e a mala pena utilizzabile.

 IRC Per inviare informazioni sul sistema e per fornire il controllo remoto, si connette al seguente server IRC:

Server: win32.**********.updates32.biz
Porta: 65528
Password del server: gringle
Canale: #wtfz#
Nickname: %stringa di caratteri casuale%
Password: shabby123

Server: win32.**********.security32.biz
Porta: 4654
Password del server: gringle
Canale: #wtfz#
Nickname: %stringa di caratteri casuale%
Password: shabby123

Server: win32.**********.security32.biz
Porta: 4564
Password del server: gringle
Canale: #wtfz#
Nickname: %stringa di caratteri casuale%
Password: shabby123

Server: win32.**********.updates32.biz
Porta: 65529
Password del server: gringle
Canale: #wtfz#
Nickname: %stringa di caratteri casuale%
Password: shabby123



– Questo malware ha la capacità di recuperare ed inviare informazioni quali:
    • Velocità della CPU
    • Utente corrente
    • Spazio libero su disco
    • Memoria libera
    • Uptime del malware
    • Informazioni sulla rete
    • Informazioni sui processi in corso
    • Dimensione della memoria
    • Directory di sistema
    • Nome Utente
    • Directory di Windows


– In più ha la capacità di effettuare azioni quali:
    • connettere al server IRC
    • Lanciare un attacco DdoS ICMP
    • Lanciare un attacco DdoS SYN
    • Lancia un attacco DdoS TCP
    • Lancia un attacco DdoS UDP
    • Disattivare DCOM
    • Disattivare le condivisioni di rete
    • Download di file
    • Modificare il registro
    • Attivare DCOM
    • Attivare le condivisioni di rete
    • Eseguire file
    • Connettersi al canale IRC
    • Terminare il processo
    • Abbandonare il canale IRC
    • Aprire condivisione remota
    • Eseguire un attacco DdoS
    • Effettuare scansione della rete
    • Inizia keylog
    • Terminare il processo
    • Aggiornarsi
    • Carica un file

 Varie Mutex:
Crea il seguente Mutex:
   • sizxlss

 Dettagli del file Linguaggio di programmazione:
 Il malware è stato scritto in MS Visual C++.


Software di compressione:
Per complicarne l'individuazione e ridurre la dimensione del file, viene compresso con il seguente software di compressione:
   • ASProtect 1.2x

Descrizione inserita da Andrei Gherman su martedì 20 settembre 2005
Descrizione aggiornata da Andrei Gherman su giovedì 22 settembre 2005

Indietro . . . .