Ha bisogno di assistenza? Chieda alla community oppure consulti un esperto.
Vai ad Avira Answers
Nome del virus:Worm/SdBot.120320.15
Scoperto:13/12/2005
Tipo:Worm
In circolazione (ITW):Si
Numero delle infezioni segnalate:Basso
Potenziale di propagazione:Medio
Potenziale di danni:Medio
File statico:Si
Dimensione del file:120.320 Byte
Somma di controllo MD5:f75688832446da31da4e043a466f6ad5
Versione VDF:6.33.00.21

 Generale Metodo di propagazione:
   • Rete locale


Alias:
   •  Symantec: W32.Spybot.Worm
   •  Kaspersky: Backdoor.Win32.SdBot.aid
   •  TrendMicro: WORM_SDBOT.DGF
   •  F-Secure: Backdoor.Win32.SdBot.aid
   •  Sophos: W32/Sdbot-AFU
   •  Panda: W32/Gaobot.LUL.worm
   •  VirusBuster: Worm.SdBot.BPG
   •  Bitdefender: Backdoor.SDBot.3D536D1F


Piattaforme / Sistemi operativi:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003


Effetti secondari:
   • Modifica del registro
   • Sfrutta la vulnerabilità del software
   • Accesso e controllo del computer da parte di terzi

 File Si copia alle seguenti posizioni:
   • %SYSDIR%\compaq.exe
   • C:\funny pic.scr
   • C:\photo album.scr
   • C:\eminem vs 2pac.scr



Cancella la copia di se stesso eseguita inizialmente.

 Registro Le seguenti chiavi di registro sono aggiunte continuamente in un loop infinito, con lo scopo di eseguire il processo dopo il riavvio.

–  HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • "Compaq Service Drivers"="compaq.exe"

–  HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
   • "Compaq Service Drivers"="compaq.exe"

–  HKCU\Software\Microsoft\Windows\CurrentVersion\Run
   • "Compaq Service Drivers"="compaq.exe"

–  HKCU\Software\Microsoft\Windows\CurrentVersion\RunServices
   • "Compaq Service Drivers"="compaq.exe"



Vengono aggiunte le seguenti chiavi di registro:

– HKCR\.key
   • @="regfile"

– HKLM\SOFTWARE\Microsoft\Ole
   • "Compaq Service Drivers"="compaq.exe"

– HKLM\SYSTEM\CurrentControlSet\Control\Lsa
   • "Compaq Service Drivers"="compaq.exe"

– HKCU\Software\Microsoft\OLE
   • "Compaq Service Drivers"="compaq.exe"

– HKCU\SYSTEM\CurrentControlSet\Control\Lsa
   • "Compaq Service Drivers"="compaq.exe"

 “Infezione” della rete Per assicurarsi la propria propagazione, il malware tenta di connettersi ad altre macchine come descritto qui sotto:


Exploit:
Sfrutta la seguente vulnerabilità:
– MS04-007 (ASN.1 Vulnerability)


Processo virale:
Crea uno script FTP sulla macchina compromessa per scaricare il malware nella posizione remota.


Esecuzione remota:
–Tenta di pianificare una esecuzione remota del malware, sulla macchina “infettata” recentemente. Per fare questo utilizza la funzione NetScheduleJobAdd.

 IRC Per inviare informazioni sul sistema e per fornire il controllo remoto, si connette al seguente server IRC:

Server: seduce.dea**********
Porta: 6667
Canale: #.sdbot.#
Nickname: [F]USA|%numero%
Password: priv8



– Questo malware ha la capacità di recuperare ed inviare informazioni quali:
    • Velocità della CPU
    • Utente corrente
    • Dettagli sui driver
    • Spazio libero su disco
    • Memoria libera
    • Informazioni sulla rete
    • Informazioni sui processi in corso
    • Dimensione della memoria
    • Nome Utente
    • Informazioni sul sistema operativo Windows


– In più ha la capacità di effettuare azioni quali:
    • Lanciare un attacco DdoS SYN
    • Disattivare le condivisioni di rete
    • Download di file
    • Attivare le condivisioni di rete
    • Eseguire file
    • Connettersi al canale IRC
    • Terminare il processo
    • Abbandonare il canale IRC
    • Effettuare scansione della rete
    • Terminare il processo
    • Aggiornarsi

 Dettagli del file Linguaggio di programmazione:
Il malware è stato scritto in MS Visual C++.
Per complicarne l'individuazione e ridurre la dimensione del file, viene compresso con un software di compressione.

Descrizione inserita da Irina Boldea su lunedì 17 aprile 2006
Descrizione aggiornata da Irina Boldea su lunedì 17 aprile 2006

Indietro . . . .
https:// Questa finestra è criptata per tua sicurezza.