Ha bisogno di assistenza? Chieda alla community oppure consulti un esperto.
Vai ad Avira Answers
Nome del virus:Worm/SdBot.akv
Scoperto:17/11/2005
Tipo:Worm
In circolazione (ITW):No
Numero delle infezioni segnalate:Basso
Potenziale di propagazione:Medio
Potenziale di danni:Medio
File statico:Si
Dimensione del file:76.800 Byte
Somma di controllo MD5:e4c3dcd460c2e4c898c65a59161c2d80
Versione VDF:6.36.01.45
Versione IVDF:6.36.01.48 - venerdì 17 novembre 2006

 Generale Metodo di propagazione:
   • Rete locale


Alias:
   •  Kaspersky: Backdoor.Win32.SdBot.avd
   •  TrendMicro: WORM_SDBOT.ALQ
   •  Sophos: W32/Tilebot-HH

Precedentemente individuato come:
     TR/Packed.CryptExe


Piattaforme / Sistemi operativi:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003


Effetti secondari:
   • Modifica del registro
   • Sfrutta la vulnerabilit del software
   • Accesso e controllo del computer da parte di terzi

 File Si copia alla seguente posizione:
   • %SYSDIR%\lsyss.exe



Cancella la copia di se stesso eseguita inizialmente.

 Registro Le seguenti chiavi di registro vengono aggiunte per caricare il servizio dopo il riavvio:

HKLM\SYSTEM\CurrentControlSet\Services\Windows Reg Service
   • "Type"=dword:00000110
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000000
   • "ImagePath"="%SYSDIR%\lsyss.exe"
   • "DisplayName"="Windows Reg Service"
   • "ObjectName"="LocalSystem"
   • "FailureActions"=%hex value%
   • "Description"="Windows Reg Service"



I valori delle seguenti chiavi di registro vengono rimossi:

–  HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions
   • "jda30"=%file eseguiti%

–  HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\
   ProxyEnable
–  HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\
   ProxyServer
–  HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\
   ProxyOverride
–  HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\
   AutoConfigURL


Vengono aggiunte le seguenti chiavi di registro:

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions
   • "jda30"=%file eseguiti%

HKLM\SYSTEM\CurrentControlSet\Services\Windows Reg Service\Security
   • "Security"=%hex value%

HKLM\SYSTEM\CurrentControlSet\Services\Windows Reg Service\Enum
   • "0"="Root\\LEGACY_WINDOWS_REG_SERVICE\\0000"
   • "Count"=dword:00000001
   • "NextInstance"=dword:00000001

HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WINDOWS_REG_SERVICE
   • "NextInstance"=dword:00000001

HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WINDOWS_REG_SERVICE\
   0000
   • "Service"="Windows Reg Service"
   • "Legacy"=dword:00000001
   • "ConfigFlags"=dword:00000000
   • "Class"="LegacyDriver"
   • "ClassGUID"="{8ECC055D-047F-11D1-A537-0000F8753ED1}"
   • "DeviceDesc"="Windows Reg Service"

HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WINDOWS_REG_SERVICE\
   0000\Control
   • "*NewlyCreated*"=dword:00000000
   • "ActiveService"="Windows Reg Service"

HKLM\SOFTWARE\Microsoft\Security Center
   • "UpdatesDisableNotify"=dword:00000001
   • "AntiVirusDisableNotify"=dword:00000001
   • "FirewallDisableNotify"=dword:00000001
   • "AntiVirusOverride"=dword:00000001
   • "FirewallOverride"=dword:00000001

HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile
   • "EnableFirewall"=dword:00000000

HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\StandardProfile
   • "EnableFirewall"=dword:00000000

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\
   Auto Update
   • "AUOptions"=dword:00000001

HKLM\SYSTEM\CurrentControlSet\Services\wscsvc
   • "Start"=dword:00000004

HKLM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters
   • "AutoShareWks"=dword:00000000
   • "AutoShareServer"=dword:00000000

HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate
   • "DoNotAllowXPSP2"=dword:00000001

HKLM\SYSTEM\CurrentControlSet\Services\TlntSvr
   • "Start"=dword:00000004

HKLM\SYSTEM\CurrentControlSet\Services\RemoteRegistry
   • "Start"=dword:00000004

HKLM\SYSTEM\CurrentControlSet\Services\Messenger
   • "Start"=dword:00000004



Vengono cambiate le seguenti chiavi di registro:

HKLM\SYSTEM\CurrentControlSet\Control
   Valore precedente:
   • "WaitToKillServiceTimeout"="2000"
   Nuovo valore:
   • "WaitToKillServiceTimeout"="7000"

HKLM\SYSTEM\CurrentControlSet\Control\Lsa
   Valore precedente:
   • "restrictanonymous"=dword:00000000
   Nuovo valore:
   • "restrictanonymous"=dword:00000001

HKLM\SOFTWARE\Microsoft\Ole
   Valore precedente:
   • "EnableDCOM"="Y"
   Nuovo valore:
   • "EnableDCOM"="N"

 Infezione della rete Exploit:
Sfrutta le seguenti vulnerabilit:
– MS03-026 (Buffer Overrun in RPC Interface)
– MS03-039 (Buffer Overrun in RPCSS Service)
– MS04-007 (ASN.1 Vulnerability)
– MS04-011 (LSASS Vulnerability)
– MS05-039 (Vulnerability in Plug and Play)


Processo virale:
Crea uno script FTP sulla macchina compromessa per scaricare il malware nella posizione remota.


Esecuzione remota:
Tenta di pianificare una esecuzione remota del malware, sulla macchina infettata recentemente. Per fare questo utilizza la funzione NetScheduleJobAdd.

 IRC Per inviare informazioni sul sistema e per fornire il controllo remoto, si connette al seguente server IRC:

Server: x.realdot**********
Porta: 8080
Password del server: master
Canale: #4.
Nickname: [P00|USA|%stringa casuale di cinque caratteri%]
Password: .....



 Questo malware ha la capacit di recuperare ed inviare informazioni quali:
    • Uptime del malware
    • Informazioni sulla rete
    • Informazioni sui processi in corso
    • Informazioni sul sistema operativo Windows


 In pi ha la capacit di effettuare azioni quali:
    • Disattivare le condivisioni di rete
    • Download di file
    • Modificare il registro
    • Attivare le condivisioni di rete
    • Terminare il processo
    • Aprire condivisione remota
     Effettuare scansione della rete
    • Arrestare il sistema
    • Terminare il malware

 Processi terminati Lista dei processi che vengono terminati:
   • i11r54n4.exe; rate.exe; winsys.exe; irun4.exe; bbeagle.exe;
      d3dupdate.exe; teekids.exe; Penis32.exe; MSBLAST.exe;
      PandaAVEngine.exe; mscvb32.exe; ssate.exe; sysinfo.exe


 Dettagli del file Software di compressione:
Per complicarne l'individuazione e ridurre la dimensione del file, viene compresso con un software di compressione.

Descrizione inserita da Bogdan Iliuta su venerdì 17 novembre 2006
Descrizione aggiornata da Bogdan Iliuta su lunedì 20 novembre 2006

Indietro . . . .
https:// Questa finestra è criptata per tua sicurezza.