Ha bisogno di assistenza? Chieda alla community oppure consulti un esperto.
Vai ad Avira Answers
Nome del virus:Worm/Sdbot.39936.9
Scoperto:18/05/2006
Tipo:Worm
In circolazione (ITW):Si
Numero delle infezioni segnalate:Basso
Potenziale di propagazione:Medio
Potenziale di danni:Medio
File statico:Si
Dimensione del file:39.936 Byte
Somma di controllo MD5:05e9876a966f3d9ee124e649509b0Fd0
Versione VDF:6.34.01.101
Versione IVDF:6.34.01.103 - giovedì 18 maggio 2006

 Generale Metodi di propagazione:
   • Rete locale
   • Unitdi rete mappata


Alias:
   •  Symantec: W32.Spybot.Worm
   •  TrendMicro: WORM_SDBOT.HM
   •  Eset: IRC/SdBot
   •  Bitdefender: Backdoor.SDBot.6A9913B0


Piattaforme / Sistemi operativi:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003


Effetti secondari:
   • Abbassa le impostazioni di sicurezza
   • Modifica del registro
   • Sfrutta la vulnerabilit del software
   • Accesso e controllo del computer da parte di terzi

 File Si copia alla seguente posizione:
   • %WINDIR%\win32host.exe

 Registro Le seguenti chiavi di registro vengono aggiunte per caricare il servizio dopo il riavvio:

HKLM\SYSTEM\CurrentControlSet\Services\Win32Kernel
   • "Type"=dword:00000110
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000000
   • "ImagePath"="%WINDIR%\win32host.exe"
   • "DisplayName"="Win32 Kernel Update"
   • "ObjectName"="LocalSystem"
   • "FailureActions"=%valori esadecimali%
   • "Description"="Win32 OS Update"



Vengono aggiunte le seguenti chiavi di registro:

HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate
   • "DoNotAllowXPSP2"=dword:00000001

HKLM\SYSTEM\CurrentControlSet\Control
   • "WaitToKillServiceTimeout"="7000"



Vengono cambiate le seguenti chiavi di registro:

HKLM\SOFTWARE\Microsoft\Security Center
   Valore precedente:
   • "AntiVirusDisableNotify"=dword:%impostazioni definite dell'utente%
   • "FirewallDisableNotify"=dword:%impostazioni definite dell'utente%
   • "UpdatesDisableNotify"=dword:%impostazioni definite dell'utente%
   • "AntiVirusOverride"=dword:%impostazioni definite dell'utente%
   • "FirewallOverride"=dword:%impostazioni definite dell'utente%
   Nuovo valore:
   • "AntiVirusDisableNotify"=dword:00000001
   • "FirewallDisableNotify"=dword:00000001
   • "UpdatesDisableNotify"=dword:00000001
   • "AntiVirusOverride"=dword:00000001
   • "FirewallOverride"=dword:00000001

HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile
   Valore precedente:
   • "EnableFirewall"=%impostazioni definite dell'utente%
   Nuovo valore:
   • "EnableFirewall"=dword:00000000

HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\StandardProfile
   Valore precedente:
   • "EnableFirewall"=%impostazioni definite dell'utente%
   Nuovo valore:
   • "EnableFirewall"=dword:00000000

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\
   Auto Update
   Valore precedente:
   • "AUOptions"=%impostazioni definite dell'utente%
   Nuovo valore:
   • "AUOptions"=dword:00000001

HKLM\SYSTEM\CurrentControlSet\Control\Lsa
   Valore precedente:
   • "restrictanonymous"=%impostazioni definite dell'utente%
   Nuovo valore:
   • "restrictanonymous"=dword:00000001

HKLM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters
   Valore precedente:
   • "AutoShareWks"=%impostazioni definite dell'utente%
   • "AutoShareServer"=%impostazioni definite dell'utente%
   Nuovo valore:
   • "AutoShareWks"=dword:00000000
   • "AutoShareServer"=dword:00000000

HKLM\SYSTEM\CurrentControlSet\Services\lanmanworkstation\parameters
   Valore precedente:
   • "AutoShareWks"=%impostazioni definite dell'utente%
   • "AutoShareServer"=%impostazioni definite dell'utente%
   Nuovo valore:
   • "AutoShareWks"=dword:00000000
   • "AutoShareServer"=dword:00000000

HKLM\SOFTWARE\Microsoft\Ole
   Valore precedente:
   • "EnableDCOM"=%impostazioni definite dell'utente%
   Nuovo valore:
   • "EnableDCOM"="N"

 Infezione della rete Per assicurarsi la propria propagazione, il malware tenta di connettersi ad altre macchine come descritto qui sotto:

Fa pi copie di se stesso nelle seguenti condivisioni di rete:
   • ADMIN$
   • IPC$
   • C$


Exploit:
Sfrutta le seguenti vulnerabilit:
– MS03-026 (Buffer Overrun in RPC Interface)
– MS03-039 (Buffer Overrun in RPCSS Service)
– MS03-049 (Buffer Overrun in the Workstation Service)
– MS04-007 (ASN.1 Vulnerability)
– MS05-039 (Vulnerability in Plug and Play)


Generazione dell'indirizzo IP:
Crea degli indirizzi IP casuali mentre mantiene i primi due ottetti dal proprio indirizzo. In seguito prova a stabilire una connessione con gli indirizzi creati.


Processo virale:
Crea uno script FTP sulla macchina compromessa per scaricare il malware nella posizione remota.


Esecuzione remota:
Tenta di pianificare una esecuzione remota del malware, sulla macchina infettata recentemente. Per fare questo utilizza la funzione NetScheduleJobAdd.

 IRC Per inviare informazioni sul sistema e per fornire il controllo remoto, si connette ai seguenti server IRC:

Server: free.avupda**********
Porta: 80
Canale: #pg
Nickname: [P00|USA| %stringa casuale di cinque caratteri%]
Password: d00l

Server: free.avupda**********
Porta: 80
Canale: #pg
Nickname: [P00|USA| %stringa casuale di cinque caratteri%]
Password: d00l

Server: free.updateav**********
Porta: 80
Canale: #pg
Nickname: [P00|USA| %stringa casuale di cinque caratteri%]
Password: d00l

Server: free.allavupdates.biz
Porta: 80
Canale: #pg
Nickname: [P00|USA| %stringa casuale di cinque caratteri%]
Password: d00l



 Questo malware ha la capacit di recuperare ed inviare informazioni quali:
    • Velocit della CPU
     Dettagli sui driver
    • Spazio libero su disco
    • Memoria libera
    • Uptime del malware
    • Informazioni sulla rete
    • Informazioni sui processi in corso
    • Dimensione della memoria
    • Nome Utente
    • Informazioni sul sistema operativo Windows


 In pi ha la capacit di effettuare azioni quali:
    • Disattivare le condivisioni di rete
    • Modificare il registro
    • Attivare le condivisioni di rete
    • Eseguire file
    • Terminare il processo
    • Eseguire un attacco DdoS
     Effettuare scansione della rete
     Registrare un servizio
    • Arrestare il sistema
     Iniziare procedura di diffusione
    • Terminare il processo
     Aggiornarsi

 Processi terminati  I seguenti servizi vengono disattivati:
   • Security Center
   • Remote Registry
   • Messenger
   • Telnet

 Dettagli del file Linguaggio di programmazione:
Il malware stato scritto in MS Visual C++.


Software di compressione:
Per complicarne l'individuazione e ridurre la dimensione del file, viene compresso con un software di compressione.

Descrizione inserita da Irina Boldea su mercoledì 19 luglio 2006
Descrizione aggiornata da Irina Boldea su mercoledì 19 luglio 2006

Indietro . . . .
https:// Questa finestra è criptata per tua sicurezza.