Worm/IRCBot.EW - Worm

Vedi anche

In breve

Descrizione completa

Statistiche

Nome del virus:	Worm/IRCBot.EW
Scoperto:	23/08/2005
Tipo:	Worm
In circolazione (ITW):	No
Numero delle infezioni segnalate:	Basso
Potenziale di propagazione:	Medio
Potenziale di danni:	Medio
File statico:	Si
Dimensione del file:	8.204 Byte
Somma di controllo MD5:	d5f5c6768beea05a6c0d72ecb69d27d1
Versione VDF:	6.31.1.166

Generale Metodo di propagazione:
   • Rete locale

Alias:
   • Symantec: W32.Esbot.A
   • Mcafee: W32/IRCbot.worm.gen
   • Kaspersky: Backdoor.Win32.IRCBot.ew
   • F-Secure: W32/Ircbot.T
   • Bitdefender: Backdoor.Ircbot.EW

Piattaforme / Sistemi operativi:
   • Windows 2000
   • Windows XP
   • Windows 2003

Effetti secondari:
   • Scarica file
   • Abbassa le impostazioni di sicurezza
   • Modifica del registro
   • Sfrutta la vulnerabilità del software
   • Accesso e controllo del computer da parte di terzi

File Si copia alla seguente posizione:
• %SYSDIR%\mousemm.exe

Cancella la copia di se stesso eseguita inizialmente.

Viene creato il seguente file:

– %WINDIR%\debug\dcpromo.log

Registro Vengono aggiunte nel registro le seguenti chiavi con lo scopo di caricare i servizi dopo il riavvio:

– [HKLM\SYSTEM\CurrentControlSet\Services\mousemm]
   • "Type"=dword:00000110
     "Start"=dword:00000002
     "ErrorControl"=dword:00000000
     "ImagePath"=%impostazioni definite dell'utente%
     "DisplayName"="Mouse Movement Monitor"
     "ObjectName"="LocalSystem"
     "FailureActions"=%impostazioni definite dell'utente%
     "Description"="Enables a computer to maintain synchronization with a PS/2 pointing device. Stopping or disabling this service will result in system instability."

– [HKLM\SYSTEM\CurrentControlSet\Services\mousemm\Security]
   • "Security"=%impostazioni definite dell'utente%


– [HKLM\SYSTEM\CurrentControlSet\Services\mousemm\Enum]
   • "0"="Root\\LEGACY_MOUSEMM\\0000"
     "Count"=dword:00000001
     "NextInstance"=dword:00000001

Vengono cambiate le seguenti chiavi di registro:

– [HKLM\SOFTWARE\Microsoft\Ole]
   Valore precedente:
   • "EnableDCOM"=%impostazioni definite dell'utente%
   Nuovo valore:
   • "EnableDCOM"="n"

– [HKLM\SYSTEM\CurrentControlSet\Control\Lsa]
   Valore precedente:
   • "restrictanonymous"=%impostazioni definite dell'utente%
   Nuovo valore:
   • "restrictanonymous"=dword:00000001

“Infezione” della rete Per assicurarsi la propria propagazione, il malware tenta di connettersi ad altre macchine come descritto qui sotto:

Exploit:
Sfrutta la seguente vulnerabilità:
– MS05-039 (Vulnerability in Plug and Play)

IRC Per inviare informazioni sul sistema e per fornire il controllo remoto, si connette ai seguenti server IRC:

Server: **********.is-a-fag.net
Porta: 18067
Canale: #p1
Nickname: p1-%stringa casuale di otto caratteri%
Password: 8mfpdofw

Server: **********.legi0n.net
Porta: 18067
Canale: #p1
Nickname: p1-%stringa casuale di otto caratteri%
Password: 8mfpdofw

– In più ha la capacità di effettuare azioni quali:
    • Lanciare un attacco DdoS SYN
    • Lancia un attacco DdoS UDP
    • Download di file
    • Eseguire file
    • Terminare il processo
    • Eseguire un attacco DdoS
    • Effettuare scansione della rete
    • Iniziare procedura di diffusione
    • Terminare il processo

Backdoor Viene aperta la seguente porta:

– %file eseguiti% sulla porta TCP 30722 con lo scopo di procurarsi delle possibili backdoor.

Come il virus si inserisce nei processi – Si inserisce in un processo.

    Nome del processo:
   • explorer.exe

   Se il malware fallisce prosegue la sua esecuzione come processo.

Varie Mutex:
Crea il seguente Mutex:
• mousemm

Dettagli del file Software di compressione:
Per complicarne l'individuazione e ridurre la dimensione del file, viene compresso con il seguente software di compressione:
• MEW 11

Per la descrizione "in breve" clicca qui.

Descrizione inserita da Razvan Olteanu il Thu, 01 Sep 2005 12:54 (GMT+1)
Descrizione aggiornata da Razvan Olteanu il Thu, 01 Sep 2005 15:33 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Indietro