Nome del virus:Worm/Rbot.pac.8
Scoperto:21/09/2005
Tipo:Worm
In circolazione (ITW):Si
Numero delle infezioni segnalate:Basso
Potenziale di propagazione:Medio
Potenziale di danni:Medio
File statico:Si
Dimensione del file:138.240 Byte
Somma di controllo MD5:10e18e783f3c5e84ee0375e783ecf77b
Versione VDF:6.32.0.17

 Generale Metodi di propagazione:
   • Rete locale
   • Unità di rete mappata


Alias:
   •  Symantec: W32.Spybot.Worm
   •  Mcafee: W32/Sdbot.worm.gen.i
   •  Kaspersky: Backdoor.Win32.Rbot.pac
   •  Bitdefender: Backdoor.Rbot.PAC


Piattaforme / Sistemi operativi:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003


Effetti secondari:
   • Disattiva le applicazioni di sicurezza
   • Abbassa le impostazioni di sicurezza
   • Modifica del registro
   • Sottrae informazioni
   • Accesso e controllo del computer da parte di terzi

 File Si copia alla seguente posizione:
   • %SYSDIR%\updates.pif

 Registro Le seguenti chiavi di registro vengono aggiunte per eseguire i processi dopo il riavvio:

– [HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
   • "System Updates Service" = "updates.pif"

– [HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices]
   • "System Updates Service" = "updates.pif"

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "System Updates Service" = "updates.pif"

– [HKCU\Software\Microsoft\Windows\CurrentVersion\RunServices]
   • "System Updates Service" = "updates.pif"



Vengono aggiunte le seguenti chiavi di registro:

– [HKLM\Software\Microsoft\OLE]
   • "System Updates Service" = "updates.pif"

– [HKLM\SYSTEM\CurrentControlSet\Control\Lsa]
   • "System Updates Service" = "updates.pif"

– [HKCU\Software\Microsoft\OLE]
   • "System Updates Service" = "updates.pif"

– [HKCU\SYSTEM\CurrentControlSet\Control\Lsa]
   • "System Updates Service" = "updates.pif"

 “Infezione” della rete Per assicurarsi la propria propagazione, il malware tenta di connettersi ad altre macchine come descritto qui sotto:

Fa più copie di se stesso nelle seguenti condivisioni di rete:
   • C:\
   • ADMIN$
   • IPC$


Exploit:
Sfrutta le seguenti vulnerabilità:
– MS03-026 (Buffer Overrun in RPC Interface)
– MS03-039 (Buffer Overrun in RPCSS Service)
– MS03-049 (Buffer Overrun in the Workstation Service)
– MS04-007 (ASN.1 Vulnerability)
– MS05-039 (Vulnerability in Plug and Play)


Generazione dell'indirizzo IP:
Crea degli indirizzi IP casuali mentre mantiene i primi due ottetti dal proprio indirizzo. In seguito prova a stabilire una connessione con gli indirizzi creati.


Processo virale:
Crea uno script TFTP o FTP sulla macchina compromessa per scaricare il malware nella posizione remota.

 IRC  Server: **********omfgwtfbbq.biz
Porta: 4654
Password del server: jew1sh
Canale: #.wtf5
Nickname: %stringa di caratteri casuale%
Password: stfubitch

Server: **********omfgwtfbbq.biz
Porta: 65529
Password del server: jew1sh
Canale: #.wtf5
Nickname: %stringa di caratteri casuale%
Password: stfubitch

Server: **********urgentupdate.net
Porta: 1427
Password del server: jew1sh
Canale: #.wtf5
Nickname: %stringa di caratteri casuale%
Password: stfubitch

Server: **********urgentupdate.net
Porta: 65528
Password del server: jew1sh
Canale: #.wtf5
Nickname: %stringa di caratteri casuale%
Password: stfubitch



– Questo malware ha la capacità di recuperare ed inviare informazioni quali:
    • Velocità della CPU
    • Utente corrente
    • Dettagli sui driver
    • Spazio libero su disco
    • Memoria libera
    • Informazioni sulla rete
    • ID della piattaforma
    • Dimensione della memoria
    • Nome Utente


– In più ha la capacità di effettuare azioni quali:
    • connettere al server IRC
    • Lanciare un attacco DdoS ICMP
    • Disattivare DCOM
    • Disattivare le condivisioni di rete
    • Download di file
    • Attivare DCOM
    • Attivare le condivisioni di rete
    • Eseguire file
    • Connettersi al canale IRC
    • Terminare il processo
    • Abbandonare il canale IRC
    • Aprire condivisione remota
    • Effettuare scansione della rete
    • Effettuare un reindirizzamento delle porte
    • Registrare un servizio
    • Riavviare il sistema
    • Terminare il malware
    • Terminare il processo
    • Visitare un sito web

 Dettagli del file Linguaggio di programmazione:
 Il malware è stato scritto in MS Visual C++.
Per complicarne l'individuazione e ridurre la dimensione del file, viene compresso con un software di compressione.

Descrizione inserita da Iulian Popa su mercoledì 21 settembre 2005
Descrizione aggiornata da Iulian Popa su mercoledì 28 settembre 2005

Indietro . . . .