Ha bisogno di assistenza? Chieda alla community oppure consulti un esperto.
Vai ad Avira Answers
Nome del virus:Worm/SdBot.38400.21
Scoperto:14/07/2005
Tipo:Worm
In circolazione (ITW):Si
Numero delle infezioni segnalate:Basso
Potenziale di propagazione:Medio
Potenziale di danni:Medio
File statico:Si
Dimensione del file:38.400 Byte
Somma di controllo MD5:4a31bef1e822492e42b789ab4400f387
Versione VDF:6.31.00.208

 Generale Metodo di propagazione:
   • Rete locale


Alias:
   •  Symantec: W32.IRCBot
   •  Kaspersky: Backdoor.Win32.SdBot.abf
   •  TrendMicro: WORM_SDBOT.BRP
   •  Sophos: W32/Sdbot-Fam
   •  Grisoft: IRC/BackDoor.SdBot.DWM
   •  VirusBuster: Worm.SdBot.BAI
   •  Eset: IRC/SdBot
   •  Bitdefender: Backdoor.SDBot.ABF


Piattaforme / Sistemi operativi:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003


Effetti secondari:
   • Modifica del registro
   • Sfrutta la vulnerabilità del software
   • Accesso e controllo del computer da parte di terzi

 File Si copia alla seguente posizione:
   • %SYSDIR%\%stringa casuale di sette caratteri%.exe



Cancella la copia di se stesso eseguita inizialmente.

 Registro Le seguenti chiavi di registro vengono aggiunte per eseguire i processi dopo il riavvio:

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • "duweculey"="%stringa casuale di sette caratteri%.exe"

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
   • "duweculey"="%stringa casuale di sette caratteri%.exe"

– HKCU\Software\Microsoft\Windows\CurrentVersion\Run
   • "duweculey"="%stringa casuale di sette caratteri%.exe"

 “Infezione” della rete Per assicurarsi la propria propagazione, il malware tenta di connettersi ad altre macchine come descritto qui sotto:

Fa più copie di se stesso nelle seguenti condivisioni di rete:
   • IPC$
   • C$\Documents and Settings\All Users\Documents\
   • C$\shared
   • C$\windows\system32
   • c$\winnt\system32
   • ADMIN$\system32\


Utilizza le seguenti informazioni di login per aprirsi l'accesso alla macchina remota:

– Una lista di Nomi utente e Password:
   • 123qwe123; zaqxsw; zaq123; motdepass; fuckyou; billgate; billgates;
      fred; bill; intranet; staff; teacher; student1; student; user1; afro;
      turnip; glen; freddy; internet; lan; nokia; ctx; 666; qweasdzxc;
      zxcvbnm; 123qaz; 123qwe; qwe123; qazwsx; qweasd; zxc123; pass1234;
      pwd; pass; passwd; admin; administrador; administrateur; administrator



Esecuzione remota:
–Tenta di pianificare una esecuzione remota del malware, sulla macchina “infettata” recentemente. Per fare questo utilizza la funzione NetScheduleJobAdd.

 IRC Per inviare informazioni sul sistema e per fornire il controllo remoto, si connette al seguente server IRC:

Server: core-01.gw-fw.**********
Porta: 9000
Canale: #aa
Nickname: J%stringa casuale di cinque caratteri%


– In più ha la capacità di effettuare azioni quali:
    • Lanciare un attacco DdoS SYN
    • Download di file
    • Eseguire file
    • Effettuare scansione della rete
    • Aggiornarsi

 Varie Mutex:
Crea il seguente Mutex:
   • savum

 Dettagli del file Linguaggio di programmazione:
Il malware è stato scritto in MS Visual C++.


Software di compressione:
Per complicarne l'individuazione e ridurre la dimensione del file, viene compresso con un software di compressione.

Descrizione inserita da Irina Boldea su giovedì 11 maggio 2006
Descrizione aggiornata da Irina Boldea su giovedì 11 maggio 2006

Indietro . . . .
https:// Questa finestra è criptata per tua sicurezza.