Worm/IRCBot.EX - Worm

Vedi anche

In breve

Descrizione completa

Statistiche

Nome del virus:	Worm/IRCBot.EX
Scoperto:	19/08/2005
Tipo:	Worm
In circolazione (ITW):	No
Numero delle infezioni segnalate:	Basso
Potenziale di propagazione:	Medio
Potenziale di danni:	Medio
File statico:	Si
Dimensione del file:	8.275 Byte
Somma di controllo MD5:	38b3ca593642abdf5a1cfe9183040ca6
Versione VDF:	6.31.1.150

Generale Metodo di propagazione:
   • Rete locale

Alias:
   • Kaspersky: Backdoor.Win32.IRCBot.ex

Piattaforme / Sistemi operativi:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effetti secondari:
   • Scarica file “maligni”
   • Modifica del registro
   • Sfrutta la vulnerabilità del software
   • Accesso e controllo del computer da parte di terzi

File Si copia alla seguente posizione:
• %WINDIR%\ssl.exe

Cancella la copia di se stesso eseguita inizialmente.

Viene creato il seguente file:

– %WINDIR%\debug\dcpromo.log

Registro Vengono aggiunte nel registro le seguenti chiavi con lo scopo di caricare i servizi dopo il riavvio:

– HKLM\system\currentcontrolset\services\ssl
   • "Type"=dword:00000110
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000000
   • "DisplayName"="Microsoft SSL"
   • "ObjectName"="LocalSystem"
   • "Description"="Provides communication security between clients and servers over TCP. If this service is stopped, TCP security between clients and servers on the network will be impaired. If this service is disabled, any services that explicitly depend on it will fail to"

– HKLM\system\currentcontrolset\services\ssl\Enum
   • "0"="Root\\LEGACY_SSL\\0000"
   • "Count"=dword:00000001
   • "NextInstance"=dword:00000001

– HKLM\system\currentcontrolset\enum\root\legacy_ssl
   • "NextInstance"=dword:00000001

– HKLM\system\currentcontrolset\enum\root\legacy_ssl\0000
   • "Service"="ssl"
   • "Legacy"=dword:00000001
   • "ConfigFlags"=dword:00000000
   • "Class"="LegacyDriver"
   • "ClassGUID"="{8ECC055D-047F-11D1-A537-0000F8753ED1}"
   • "DeviceDesc"="Microsoft SSL"

– HKLM\system\currentcontrolset\enum\root\legacy_ssl\0000\Control
   • "*NewlyCreated*"=dword:00000000
   • "ActiveService"="ssl"

– HKLM\system\currentcontrolset\services\ssl
   • "ImagePath"= %WINDIR%\ssl.exe

– HKLM\system\currentcontrolset\services\ssl
   • "FailureActions"=hex:00,00,00,00,00,00,00,00,00,00,00,00,01,00,00,00,74,00,20,\
      00,01,00,00,00,00,00,00,00

– HKLM\system\currentcontrolset\services\ssl\Security
   • "Security"=%WINDIR%\ssl.exe

Vengono cambiate le seguenti chiavi di registro:

– HKLM\system\controlset001\control\servicecurrent
   Valore precedente:
   • @=dword:%impostazioni definite dell'utente%
   Nuovo valore:
   • @=dword:0000000e

– HKLM\software\microsoft\ole
   Valore precedente:
   • "EnableDCOM"="%impostazioni definite dell'utente%"
   Nuovo valore:
   • "EnableDCOM"="n"

– HKLM\system\currentcontrolset\control\lsa
   Valore precedente:
   • "restrictanonymous"=dword:%impostazioni definite dell'utente%
   Nuovo valore:
   • "restrictanonymous"=dword:00000001

“Infezione” della rete Per assicurarsi la propria propagazione, il malware tenta di connettersi ad altre macchine come descritto qui sotto:

Exploit:
Sfrutta la seguente vulnerabilità:
– MS04-011 (LSASS Vulnerability)

Generazione dell'indirizzo IP:
Crea degli indirizzi IP casuali e prova a stabilire una connessione.

IRC Per inviare informazioni sul sistema e per fornire il controllo remoto, si connette al seguente server IRC:

Server: **********.wallloan.com
Porta: 18067
Canale: #p5
Nickname: p5-<%stringa di caratteri casuale%>
Password: wolnqjnr

– In più ha la capacità di effettuare azioni quali:
    • Download di file
    • Eseguire file
    • Eseguire un attacco DdoS
    • Effettuare scansione della rete
    • Aggiornarsi

Per la descrizione "in breve" clicca qui.

Descrizione inserita da Sergiu Oprea il Fri, 26 Aug 2005 11:00 (GMT+1)
Descrizione aggiornata da Sergiu Oprea il Tue, 30 Aug 2005 12:38 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Indietro