Ha bisogno di assistenza? Chieda alla community oppure consulti un esperto.
Vai ad Avira Answers
Nome del virus:Worm/IRCBot.9609
Numero CME:482
Scoperto:13/08/2006
Tipo:Worm
In circolazione (ITW):Si
Numero delle infezioni segnalate:Basso
Potenziale di propagazione:Medio-Alto
Potenziale di danni:Medio
File statico:Si
Dimensione del file:9.609 Byte
Somma di controllo MD5:9928A1E6601CF00D0B7826D13FB556F0
Versione VDF:6.35.01.85 - domenica 13 agosto 2006
Versione IVDF:6.35.01.85 - domenica 13 agosto 2006

 Generale Metodi di propagazione:
   • Rete locale
   • Messenger


Alias:
   •  Symantec: Backdoor.IRC.Bot
   •  Mcafee: IRC-Mocbot!MS06-040
   •  Kaspersky: Backdoor.Win32.IRCBot.st
   •  TrendMicro: WORM_IRCBOT.JK
   •  F-Secure: Backdoor.Win32.IRCBot.st


Piattaforme / Sistemi operativi:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003


Effetti secondari:
   • Disattiva le applicazioni di sicurezza
   • Abbassa le impostazioni di sicurezza
   • Modifica del registro
   • Sfrutta la vulnerabilità del software
   • Accesso e controllo del computer da parte di terzi

 File Si copia alla seguente posizione:
   • %SYSDIR%\wgareg.exe



Cancella la copia di se stesso eseguita inizialmente.

 Registro Le seguenti chiavi di registro vengono aggiunte per caricare il servizio dopo il riavvio:

– [HKLM\SYSTEM\CurrentControlSet\Services\wgareg]
   • Type = 110
   • Start = 2
   • ErrorControl = 0
   • ImagePath = %SYSDIR%\wgareg.exe
   • DisplayName = Windows Genuine Advantage Registration Service
   • ObjectName = LocalSystem
   • FailureActions = %valori esadecimali%
   • Description = Ensures that your copy of Microsoft Windows is genuine and registered. Stopping or disabling this service will result in system instability.

– [HKLM\SYSTEM\CurrentControlSet\Services\wgareg\Security]
   • Security = %valori esadecimali%

– [HKLM\SYSTEM\CurrentControlSet\Services\wgareg\Enum]
   • 0 = Root\LEGACY_WGAREG\0000
   • Count = 1
   • NextInstance = 1



Vengono cambiate le seguenti chiavi di registro:

– [HKLM\SOFTWARE\Microsoft\Ole]
   Valore precedente:
   • EnableDCOM = %impostazioni definite dell'utente%
   Nuovo valore:
   • EnableDCOM = n

– [HKLM\SYSTEM\CurrentControlSet\Control\Lsa]
   Valore precedente:
   • restrictanonymous = %impostazioni definite dell'utente%
   • restrictanonymoussam = %impostazioni definite dell'utente%
   Nuovo valore:
   • restrictanonymous = 1
   • restrictanonymoussam = 1

– [HKLM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters]
   Nuovo valore:
   • autoshareserver = 0
   • autosharewks = 0

– [HKLM\SOFTWARE\Microsoft\security center]
   Valore precedente:
   • antivirusdisablenotify = %impostazioni definite dell'utente%
   • antivirusoverride = %impostazioni definite dell'utente%
   • firewalldisablenotify = %impostazioni definite dell'utente%
   • firewalldisableoverride = %impostazioni definite dell'utente%
   Nuovo valore:
   • antivirusdisablenotify = 1
   • antivirusoverride = 1
   • firewalldisablenotify = 1
   • firewalldisableoverride = 1

Disattiva il firewall di Windows:
– [HKLM\SOFTWARE\Policies\Microsoft\windowsfirewall\domainprofile]
   Valore precedente:
   • enablefirewall = %impostazioni definite dell'utente%
   Nuovo valore:
   • enablefirewall = 0

– [HKLM\SOFTWARE\Policies\Microsoft\windowsfirewall\standardprofile]
   Valore precedente:
   • enablefirewall = %impostazioni definite dell'utente%
   Nuovo valore:
   • enablefirewall = 0

– [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess]
   Valore precedente:
   • Start = %impostazioni definite dell'utente%
   Nuovo valore:
   • Start = 4

 Messenger Si diffonde via Messenger. Le caratteristiche sono descritte sotto:

– AIM Messenger

 “Infezione” della rete Per assicurarsi la propria propagazione, il malware tenta di connettersi ad altre macchine come descritto qui sotto:


Exploit:
Sfrutta la seguente vulnerabilità:
– MS06-040 (Vulnerability in Server Service)

 IRC Per inviare informazioni sul sistema e per fornire il controllo remoto, si connette ai seguenti server IRC:

Server: bniu.house**********
Porta: 18067
Canale: #n1
Nickname: n1-%stringa di caratteri casuale%
Password: nert4mp1

Server: ypgw.wall**********
Porta: 18067
Canale: #n1
Nickname: n1-%stringa di caratteri casuale%
Password: nert4mp1


– In più ha la capacità di effettuare azioni quali:
    • Lanciare un attacco DdoS SYN
    • Lancia un attacco DdoS UDP
    • Download di file
    • Eseguire file
    • Iniziare procedura di diffusione

 Varie Mutex:
Crea il seguente Mutex:
   • wgareg

 Dettagli del file Software di compressione:
Per complicarne l'individuazione e ridurre la dimensione del file, viene compresso con un software di compressione.

Descrizione inserita da Philipp Wolf su domenica 13 agosto 2006
Descrizione aggiornata da Andrei Gherman su lunedì 14 agosto 2006

Indietro . . . .
https:// Questa finestra è criptata per tua sicurezza.