Worm/Rbot.SC - Worm

Vedi anche

In breve

Descrizione completa

Statistiche

Nome del virus:	Worm.Rbot.SC
Scoperto:	05/08/2005
Tipo:	Worm
In circolazione (ITW):	No
Numero delle infezioni segnalate:	Basso
Potenziale di propagazione:	Medio
Potenziale di danni:	Medio
File statico:	Si
Dimensione del file:	115.712 Byte
Somma di controllo MD5:	841bd2641ee5b9b2cebab37f1cb0b86e
Versione VDF:	6.31.1.66

Generale Metodo di propagazione:
   • Rete locale

Alias:
   • Symantec: W32.Spybot.Worm
   • Mcafee: W32/Sdbot.worm.gen
   • Kaspersky: Backdoor.Win32.Rbot.gen
   • TrendMicro: WORM_SPYBOT.AZV
   • Sophos: W32/Rbot-Fam
   • Panda: W32/Gaobot.BJY.worm
   • Grisoft: IRC/BackDoor.SdBot.74.BP
   • VirusBuster: Worm.RBot.CCF
   • Bitdefender: Worm.Gaobot.BJY

Piattaforme / Sistemi operativi:
   • Windows 2000
   • Windows XP

Effetti secondari:
   • Modifica del registro
   • Sfrutta la vulnerabilità del software
   • Sottrae informazioni

File Si copia alla seguente posizione:
• %SYSDIR%\wvsvc.exe

Cancella la copia di se stesso eseguita inizialmente.

Registro Le seguenti chiavi di registro vengono aggiunte per eseguire i processi dopo il riavvio:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "wvsvc"="wvsvc.exe"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
   • "wvsvc"="wvsvc.exe"

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "wvsvc"="wvsvc.exe"

Viene aggiunta la seguente chiave di registro:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
   • "wvsvc"="wvsvc.exe"

Vengono cambiate le seguenti chiavi di registro:

– [HKLM\SOFTWARE\Microsoft\Ole]
   Valore precedente:
   • "EnableDCOM"="Y"
   Nuovo valore:
   • "EnableDCOM"="N"

– [HKLM\SYSTEM\CurrentControlSet\Control\Lsa]
   Valore precedente:
   • "restrictanonymous"=dword:00000000
   • "restrictanonymoussam"=dword:00000001
   Nuovo valore:
   • "restrictanonymous"=dword:00000001
   • "restrictanonymoussam"=dword:00000001

“Infezione” della rete Per assicurarsi la propria propagazione, il malware tenta di connettersi ad altre macchine come descritto qui sotto:

Fa più copie di se stesso nelle seguenti condivisioni di rete:
   • C:$\Windows\System32
   • C:$\WINNT\System32
   • ADMIN$\System32
   • IPC$

Utilizza le seguenti informazioni di login per aprirsi l'accesso alla macchina remota:

–Nomi Utente e Password presenti nella cache.

– La seguente lista di Nomi Utente:
   • access; admin; administrator; backup; barbara; blank; brian; bruce;
      capitol; cisco; compaq; control; default; domain; exchange; exchnge;
      frank; freddy; george; guest; headoffice; heaven; homeuser; internet;
      internet; intranet; katie; login; nokia; oeminstall; office; orange;
      peter; siemens; spencer; staff; student; student1; susan; teacher;
      technical; turnip; yellow

– La seguente lista di Password:
   • 123; 1234; 12346; 123467; 1234678; 12346789; 123467890; accounting;
      accounts; changeme; databasepass; databasepassword; db1234; dbpass;
      dbpassword; default; domain; domainpass; domainpassword;
      domainpassword; hell; hello; loginpass; outlook; pass1234; passwd;
      password; password1; qwerty; server; system; sqlpass; userpassword;
      win2000; win2k; win98; windows; winpass; winnt; winxp

Sfrutta le seguenti vulnerabilità:
– MS02-061 (Elevation of Privilege in SQL Server Web)
– MS03-026 (Buffer Overrun in RPC Interface)
– MS04-011 (LSASS Vulnerability)

Generazione dell'indirizzo IP:
Crea degli indirizzi IP casuali mentre mantiene i primi due ottetti dal proprio indirizzo. In seguito prova a stabilire una connessione con gli indirizzi creati.

Processo virale:
Crea uno script TFTP sulla macchina compromessa per scaricare il malware nella posizione remota.

Rallentamento:
– In funzione della larghezza di banda si potrebbe notare un rallentamento nella velocità della rete. Si potrebbe comunque non notarlo nel caso in cui il livello di attività di rete per questo malware risulti medio e se la connessione di rete è a banda larga.
– Inoltre si potrebbe notare un rallentamento dovuto ai multipli thread di rete creati.

IRC Per inviare informazioni sul sistema e per fornire il controllo remoto, si connette al seguente server IRC:

Server: real.prof**********.us
Porta: 62173
Canale: #ra
Nickname: rF-%stringa di caratteri casuale%

– Questo malware ha la capacità di recuperare ed inviare informazioni quali:
    • Password memorizzate nella cache
    • Velocità della CPU
    • Spazio libero su disco
    • Memoria libera
    • Informazioni sulla rete
    • Informazioni sui processi in corso
    • Dimensione della memoria
    • Nome Utente

– In più ha la capacità di effettuare azioni quali:
    • connettere al server IRC
    • Lanciare un attacco DdoS SYN
    • Lancia un attacco DdoS TCP
    • Lancia un attacco DdoS UDP
    • Disattivare DCOM
    • Download di file
    • Modificare il registro
    • Attivare le condivisioni di rete
    • Eseguire file
    • Connettersi al canale IRC
    • Terminare il processo
    • Aprire condivisione remota
    • Riavviare il sistema
    • Inviare email

Backdoor Le seguenti porte sono aperte:

– %SYSDIR%\wvsvc.exe sulla porta UDP 69 con lo scopo di procurarsi un server TFTP.
– %SYSDIR%\wvsvc.exe su una porta TCP casuale con lo scopo di procurarsi una condivisione remota.

Sottrazione di informazioni Prova a sottrarre le seguenti informazioni:
– Windows Product ID

– Le seguenti chiavi CD:
   • Battlefield 1942; Battlefield 1942 (Road To Rome); Battlefield 1942
      (Secret Weapons of WWII); Battlefield Vietnam; Black and White; Call
      of Duty; Chrome; Command and Conquer: Generals; Command and Conquer:
      Generals (Zero Hour); Command and Conquer: Red Alert; Command and
      Conquer: Red Alert 2; Command and Conquer: Tiberian Sun;
      Counter-Strike (Retail); FarCry; FIFA 2002; FIFA 2003; Freedom Force;
      Global Operations; Ground Control II; Gunman Chronicles; Half-Life;
      Hidden & Dangerous 2; IGI 2: Covert Strike; Industry Giant 2; James
      Bond 007: Nightfire; Joint Operations: Typhoon Rising; Legends of
      Might and Magic; Medal of Honor: Allied Assault; Medal of Honor:
      Allied Assault: Breakthrough; Medal of Honor: Allied Assault:
      Spearhead; Nascar Racing 2002; Nascar Racing 2003; Need For Speed Hot
      Pursuit 2; Need For Speed:Underground; Neverwinter Nights (Hordes of
      the Underdark); Neverwinter Nights (Shadows of Undrentide); NHL 2002;
      NHL 2003; NOX; Rainbow Six III RavenShield; Shogun Total War - Warlord
      Edition; Soldier of Fortune II - Double Helix; Soldiers Of Anarchy;
      The Gladiators; Unreal Tournament 2003; Unreal Tournament 2004

– Dopo aver digitato con la tastiera una stringa che corrisponde a una delle seguenti, viene avviata una procedura di “tracciamento”:
   • Admin; advscan; asc; auth; hashin; id; Login; login; pass; PASS; pass;
      PASSWORD; Password; paypal; paypal; paypal.com; scan.all; scan.start;
      scan.startall; secure; start.scan; syn; USER; user

Varie Mutex:
Crea il seguente Mutex:
• ra

Dettagli del file Linguaggio di programmazione:
Il malware è stato scritto in MS Visual C++.

Software di compressione:
Per complicarne l'individuazione e ridurre la dimensione del file, viene compresso con il seguente software di compressione:
• PE_Patch.Morphine; Morphine; ASPack

Per la descrizione "in breve" clicca qui.

Descrizione inserita da Irina Boldea il Thu, 04 Aug 2005 16:05 (GMT+1)
Descrizione aggiornata da Oliver Auerbach il Fri, 19 Aug 2005 22:30 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Indietro