Ha bisogno di assistenza? Chieda alla community oppure consulti un esperto.
Vai ad Avira Answers
Nome del virus:Worm/Rbot.96768.12
Scoperto:23/05/2005
Tipo:Worm
In circolazione (ITW):No
Numero delle infezioni segnalate:Basso
Potenziale di propagazione:Medio
Potenziale di danni:Medio
File statico:Si
Dimensione del file:96.768 Byte
Somma di controllo MD5:1cf27193818159e647bef27f02268eea
Versione VDF:6.31.01.166

 Generale Metodi di propagazione:
   • Rete locale
   • Unitdi rete mappata


Alias:
   •  TrendMicro: WORM_RBOT.ERW
   •  Sophos: W32/Rbot-BAH
   •  Grisoft: IRC/BackDoor.SdBot.HLZ
   •  VirusBuster: Worm.RBot.CFY
   •  Eset: Win32/Rbot
   •  Bitdefender: Backdoor.RBot.WDC


Piattaforme / Sistemi operativi:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003


Effetti secondari:
   • Modifica del registro
   • Sfrutta la vulnerabilit del software
   • Accesso e controllo del computer da parte di terzi

 File Si copia alla seguente posizione:
   • %SYSDIR%\scvhost9.exe



Cancella la copia di se stesso eseguita inizialmente.

 Registro Le seguenti chiavi di registro vengono aggiunte per eseguire i processi dopo il riavvio:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
   • "Generic Host Process9 System Backup"="scvhost9.exe"

HKCU\Software\Microsoft\Windows\CurrentVersion\Run
   • "Generic Host Process9 System Backup"="scvhost9.exe"



Le seguenti chiavi di registro vengono aggiunte per caricare il servizio dopo il riavvio:

HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
   • "Generic Host Process9 System Backup"="scvhost9.exe"



Vengono cambiate le seguenti chiavi di registro:

HKLM\SOFTWARE\Microsoft\Ole
   Valore precedente:
   • "EnableDCOM"="Y"
   Nuovo valore:
   • "EnableDCOM"="N"

HKLM\SYSTEM\CurrentControlSet\Control\Lsa
   Valore precedente:
   • "restrictanonymous"=0
   Nuovo valore:
   • "restrictanonymous"=1

 Infezione della rete Per assicurarsi la propria propagazione, il malware tenta di connettersi ad altre macchine come descritto qui sotto:

Fa pi copie di se stesso nelle seguenti condivisioni di rete:
   • IPC$
   • C$
   • ADMIN$


Utilizza le seguenti informazioni di login per aprirsi l'accesso alla macchina remota:

Una lista di Nomi utente e Password:
   • administrator; administrador; administrateur; administrat; admins;
      admin; staff; root; computer; owner; student; teacher; wwwadmin;
      guest; default; database; dba; oracle; db2; administrator;
      administrador; administrateur; administrat; admins; admin; adm;
      password1; password; passwd; pass1234; pass; pwd; 007; 123; 1234;
      12345; 123456; 1234567; 12345678; 123456789; 1234567890; 2000; 2001;
      2002; 2003; 2004; test; guest; none; demo; unix; linux; changeme;
      default; system; server; root; null; qwerty; mail; outlook; web; www;
      internet; accounts; accounting; home; homeuser; user; oem; oemuser;
      oeminstall; windows; win98; win2k; winxp; winnt; win2000; qaz; asd;
      zxc; qwe; bob; jen; joe; fred; bill; mike; john; peter; luke; sam;
      sue; susan; peter; brian; lee; neil; ian; chris; eric; george; kate;
      bob; katie; mary; login; loginpass; technical; backup; exchange; fuck;
      bitch; slut; sex; god; hell; hello; domain; domainpass;
      domainpassword; database; access; dbpass; dbpassword; databasepass;
      data; databasepassword; db1; db2; db1234; sql; sqlpassoainstall;
      orainstall; oracle; ibm; cisco; dell; compaq; siemens; nokia; control;
      office; blank; winpass; main; lan; internet; intranet; student;
      teacher; staff



Exploit:
Sfrutta le seguenti vulnerabilit:
– MS03-026 (Buffer Overrun in RPC Interface)
– MS03-039 (Buffer Overrun in RPCSS Service)
– MS04-011 (LSASS Vulnerability)


Processo virale:
Crea uno script TFTP sulla macchina compromessa per scaricare il malware nella posizione remota.


Esecuzione remota:
Tenta di pianificare una esecuzione remota del malware, sulla macchina infettata recentemente. Per fare questo utilizza la funzione NetScheduleJobAdd.

 IRC Per inviare informazioni sul sistema e per fornire il controllo remoto, si connette al seguente server IRC:

Server: power.pro**********
Porta: 3267
Canale: #Bt[r2]Nt
Nickname: {XP}-%stringa casuale di sette caratteri%
Password: FIRE



 Questo malware ha la capacit di recuperare ed inviare informazioni quali:
    • Password memorizzate nella cache
    • Immagine catturata dallo schermo
    • Immagine catturata dalla webcam
    • Velocit della CPU
    • Utente corrente
    • Spazio libero su disco
    • Memoria libera
    • Uptime del malware
    • Informazioni sulla rete
    • Informazioni sui processi in corso
    • Dimensione della memoria
    • Informazioni sul sistema operativo Windows


 In pi ha la capacit di effettuare azioni quali:
     connettere al server IRC
     Lanciare un attacco DdoS ICMP
     Lanciare un attacco DdoS SYN
    • Lancia un attacco DdoS TCP
     Lancia un attacco DdoS UDP
    • Disattivare DCOM
    • Disattivare le condivisioni di rete
     disconnettere dal server IRC
    • Download di file
    • Modificare il registro
    • Attivare DCOM
    • Attivare le condivisioni di rete
    • Eseguire file
    • Connettersi al canale IRC
    • Terminare il processo
    • Abbandonare il canale IRC
    • Aprire condivisione remota
    • Eseguire un attacco DdoS
     Effettuare scansione della rete
    • Effettuare un reindirizzamento delle porte
    • Riavviare il sistema
    • Inviare email
     Inizia keylog
     Iniziare procedura di diffusione
    • Terminare il processo
     Aggiornarsi
    • Carica un file
     Visitare un sito web

 Varie Mutex:
Crea il seguente Mutex:
   • Bot-1

 Dettagli del file Linguaggio di programmazione:
Il malware stato scritto in MS Visual C++.


Software di compressione:
Per complicarne l'individuazione e ridurre la dimensione del file, viene compresso con un software di compressione.

Descrizione inserita da Irina Boldea su giovedì 23 novembre 2006
Descrizione aggiornata da Irina Boldea su giovedì 23 novembre 2006

Indietro . . . .
https:// Questa finestra è criptata per tua sicurezza.