Worm/Sdbot.80896 - Worm

Vedi anche

In breve

Descrizione completa

Statistiche

Nome del virus:	Worm/Sdbot.80896
Scoperto:	26/08/2005
Tipo:	Worm
In circolazione (ITW):	No
Numero delle infezioni segnalate:	Basso
Potenziale di propagazione:	Medio
Potenziale di danni:	Medio
File statico:	Si
Dimensione del file:	80.896 Byte
Somma di controllo MD5:	8e3d9a00158895be246046568332045a
Versione VDF:	6.31.1.158

Generale Metodo di propagazione:
   • Rete locale

Alias:
   • Symantec: W32.Spybot.Worm
   • Kaspersky: Trojan.Win32.Crypt.d
   • TrendMicro: WORM_SDBOT.CBS
   • VirusBuster: Worm.SdBot.BEH
   • Eset: Win32/Rbot

Piattaforme / Sistemi operativi:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows 2000
   • Windows XP

Effetti secondari:
   • Abbassa le impostazioni di sicurezza
   • Modifica del registro
   • Sfrutta la vulnerabilità del software
   • Sottrae informazioni
   • Accesso e controllo del computer da parte di terzi

Registro Le seguenti chiavi di registro vengono aggiunte per eseguire i processi dopo il riavvio:

– HKLM\Software\Microsoft\Windows\CurrentVersion\Run
   • "li start up"="%file eseguiti%"

– HKCU\Software\Microsoft\Windows\CurrentVersion\Run
   • "li start up"="%file eseguiti%"

Vengono aggiunte nel registro le seguenti chiavi con lo scopo di caricare i servizi dopo il riavvio:

– HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
   • "li start up"="%file eseguiti%"

– HKCU\Software\Microsoft\Windows\CurrentVersion\RunServices
   • "li start up"="%file eseguiti%

Vengono aggiunte le seguenti chiavi di registro:

– HKLM\Software\Microsoft\OLE
   • "li start up"="%file eseguiti%"

– HKLM\SYSTEM\CurrentControlSet\Control\Lsa
   • "li start up"="%file eseguiti%"

– HKCU\Software\Microsoft\OLE
   • "li start up"="%file eseguiti%"

– HKCU\SYSTEM\CurrentControlSet\Control\Lsa
   • "li start up"="%file eseguiti%"

Viene cambiata la seguente chiave di registro:

– HKLM\Software\Microsoft\OLE
   Valore precedente:
   • "EnableDCOM"="%impostazioni definite dell'utente%"
   Nuovo valore:
   • "EnableDCOM"="Y"

“Infezione” della rete Per assicurarsi la propria propagazione, il malware tenta di connettersi ad altre macchine come descritto qui sotto:

Fa più copie di se stesso nelle seguenti condivisioni di rete:
   • "ipc$"
   • "print$"
   • "admin$"
   • "Admin$"

Utilizza le seguenti informazioni di login per aprirsi l'accesso alla macchina remota:

–Nomi Utente e Password presenti nella cache.

– La seguente lista di Nomi Utente:
   • Admin; Administrador; administrador; administrat; Administrateur;
      Administrator; Coordinatore; Guest; main; master; owner; root; server;
      student; supervisor; system; teacher; user; windows

– La seguente lista di Password:
   • 7; 123; 777; 2600; abc; access; computer; Login; oem; oeminstall;
      OWNER; pass; password; pwd; qwerty; superuser; win2000; win2k; winnt;
      winxp; xxx

Exploit:
Sfrutta la seguente vulnerabilità:
– MS04-011 (LSASS Vulnerability)

Generazione dell'indirizzo IP:
Crea degli indirizzi IP casuali mentre mantiene i primi due ottetti dal proprio indirizzo. In seguito prova a stabilire una connessione con gli indirizzi creati.

Processo virale:
Crea uno script FTP sulla macchina compromessa per scaricare il malware nella posizione remota.

Rallentamento:
– In funzione della larghezza di banda si potrebbe notare un rallentamento nella velocità della rete. Si potrebbe comunque non notarlo nel caso in cui il livello di attività di rete per questo malware risulti medio e se la connessione di rete è a banda larga.
– Inoltre si potrebbe notare un rallentamento dovuto ai multipli thread di rete creati.

IRC Per inviare informazioni sul sistema e per fornire il controllo remoto, si connette al seguente server IRC:

Server: 83.133.125.**********
Porta: 24300
Canale: #fftp
Nickname: [XP]|%random characters%
Password: abcnet

– Questo malware ha la capacità di recuperare ed inviare informazioni quali:
    • Velocità della CPU
    • Utente corrente
    • Spazio libero su disco
    • Memoria libera
    • Uptime del malware
    • Informazioni sulla rete
    • Informazioni sui processi in corso
    • Dimensione della memoria
    • Directory di sistema
    • Nome Utente

– In più ha la capacità di effettuare azioni quali:
    • connettere al server IRC
    • disconnettere dal server IRC
    • Download di file
    • Modificare il registro
    • Attivare DCOM
    • Eseguire file
    • Connettersi al canale IRC
    • Terminare il processo
    • Aprire condivisione remota
    • Eseguire un attacco DdoS
    • Effettuare scansione della rete
    • Arrestare il sistema
    • Iniziare procedura di diffusione
    • Terminare il processo
    • Aggiornarsi

Host L'host del file viene modificato come spiegato:

– In questo caso i dati immessi già esistenti vengono cancellati.

– L'accesso ai seguenti domini è reindirizzato ad altre destinazioni:
   • avp.com; ca.com; customer.symantec.com; dispatch.mcafee.com;
      download.mcafee.com; f-secure.com; kaspersky.com; kaspersky-labs.com;
      liveupdate.symantec.com; liveupdate.symantecliveupdate.com;
      mast.mcafee.com; mcafee.com; my-etrust.com; nai.com;
      networkassociates.com; rads.mcafee.com; secure.nai.com;
      securityresponse.symantec.com; sophos.com; symantec.com;
      trendmicro.com; update.symantec.com; updates.symantec.com;
      us.mcafee.com; viruslist.com; www.avp.com; www.ca.com;
      www.f-secure.com; www.grisoft.com; www.jayloden.com;
      www.kaspersky.com; www.mcafee.com; www.my-etrust.com; www.nai.com;
      www.networkassociates.com; www.sophos.com; www.symantec.com;
      www.trendmicro.com; www.viruslist.com

Dettagli del file Linguaggio di programmazione:
Il malware è stato scritto in MS Visual C++.

Per la descrizione "in breve" clicca qui.

Descrizione inserita da Irina Boldea il Fri, 26 Aug 2005 18:43 (GMT+1)
Descrizione aggiornata da Irina Boldea il Tue, 30 Aug 2005 17:02 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Indietro