BDS/Prorat.M - Backdoor Server

Vedi anche

In breve

Descrizione completa

Statistiche

Nome del virus:	BDS/Prorat.M
Scoperto:	19/09/2005
Tipo:	Backdoor Server
In circolazione (ITW):	No
Numero delle infezioni segnalate:	Basso
Potenziale di propagazione:	Basso
Potenziale di danni:	Medio
File statico:	Si
Dimensione del file:	546.304 Byte
Somma di controllo MD5:	907993D4ED88AB7913029C2EB45D19CA
Versione VDF:	6.30.0.213

Generale Metodo di propagazione:
   • Nessuna propria procedura di propagazione

Alias:
   • Symantec: Backdoor.Prorat
   • Mcafee: BackDoor-AVW
   • Kaspersky: Backdoor.Win32.Prorat.m
   • TrendMicro: BKDR_PRORAT.AF
   • Bitdefender: Trojan.Dropper.Agent.CO

Piattaforme / Sistemi operativi:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effetti secondari:
   • Disattiva le applicazioni di sicurezza
   • Duplica file “maligni”
   • Utilizza un proprio motore SMTP per l'invio di email
   • Abbassa le impostazioni di sicurezza
   • Registra le battute di tastiera
   • Modifica del registro
   • Sottrae informazioni
   • Accesso e controllo del computer da parte di terzi

Giusto dopo l'esecuzione viene visualizzata la seguente informazione:

File Si copia alle seguenti posizioni:
   • %SYSDIR%\fservice.exe
   • %SYSDIR%\sservice.exe
   • %WINDIR%\services.exe

Vengono creati i seguenti file:

– %SYSDIR%\winkey.dll Ulteriori analisi hanno accertato che questo file è anch'esso un malware.
– %SYSDIR%\reginv.dll Ulteriori analisi hanno accertato che questo file è anch'esso un malware.
– %WINDIR%\ktd32.atm Questo file contiene le battute di tastiera recuperate.

Registro Le seguenti chiavi di registro sono aggiunte continuamente in un loop infinito, con lo scopo di eseguire il processo dopo il riavvio.

– [HKLM\software\microsoft\windows\currentversion\policies\explorer\
   Run]
   • "DirectX For Microsoft® Windows"="%SYSDIR%\fservice.exe"

– [HKLM\software\microsoft\\Windows NT\CurrentVersion\Winlogon]
   • "Shell"="Explorer.exe %SYSDIR%\fservice.exe"

Vengono aggiunte le seguenti chiavi di registro:

– [HKCU\software\microsoft\Windows NT Script Host\Microsoft DxDiag\
   WinSettings]
   • "Bulas"="1"
   • "FW_KILL"="1"
   • "XP_FW_Disable"="1"
   • "XP_SYS_Recovery"="1"
   • "ICQ_UIN"="`c`ex/on,hq/bnl"
   • "ICQ_UIN2"=""
   • "Kurban_Ismi"="inru88"
   • "Mail"="cmnne^gmnv3110Ax`inn/bnl"
   • "Online_List"=""
   • "Port"="4001"
   • "Sifre"="cmnne896"
   • "Hata"="Invalid memory address"
   • "KSil"="0"
   • "LanNotifie"=""
   • "Tport"="0"
   • "ServerVersionInt"="19"

– [HKLM\software\microsoft\\Active Setup\Installed Components\
   {5Y99AE78-58TT-11dW-BE53-Y67078979Y}]
   • "StubPath"="%SYSDIR%\sservice.exe"

Vengono cambiate le seguenti chiavi di registro:

– [HKLM\software\microsoft\\Windows NT\CurrentVersion\Winlogon]
   Valore precedente:
   • "Shell"="Explorer.exe"
   Nuovo valore:
   • "Shell"="Explorer.exe %SYSDIR%\fservice.exe"

– [HKLM\SYSTEM\ControlSet001\Services\SharedAccess]
   Valore precedente:
   • "Start"=%impostazioni definite dell'utente%
   Nuovo valore:
   • "Start"=dword:00000004

– [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess]
   Valore precedente:
   • "Start"=%impostazioni definite dell'utente%
   Nuovo valore:
   • "Start"=dword:00000004

– [HKLM\SYSTEM\ControlSet001\Services\srservice]
   Valore precedente:
   • "Start"=%impostazioni definite dell'utente%
   Nuovo valore:
   • "Start"=dword:00000004

– [HKLM\SYSTEM\CurrentControlSet\Services\srservice]
   Valore precedente:
   • "Start"=%impostazioni definite dell'utente%
   Nuovo valore:
   • "Start"=dword:00000004

Email Non ha una propria procedura di diffusione ma ha la capacità di inviare un'email. Molto probabilmente il ricevente è l'autore. Le caratteristiche sono descritte qui sotto:

Da:
Il mittente della mail è il seguente:
   • prorat@yahoo.com

A:
Il destinatario dell'email è il seguente:
   • blood_flow2001yahoo.com

Oggetto:
Il seguente:
   • ProRat [host99 Online]

Corpo dell'email:
Il corpo dell’email è come il seguente:

   • [ProRat V1.9-Test-Version-8]
     Victim is Online.
     IP Address(es) :
      %indirizzo IP corrente%

     Port :5110
     Password :blood987
     Victim name :host99
     User name :%nome utente corrente%
     Computer Name :%nome del computer%
     Date :%data corrente%
     Time :%ora corrente%

L’email si presenta come di seguito:

Processi terminati I seguenti servizi vengono disattivati:
   • System Restore
   • Internet Connection Firewall (Windows Firewall)/Internet Connection Sharing
   • Norton AntiVirus Auto-Protect Service (navapsvc)

Backdoor Le seguenti porte sono aperte:

– %WINDIR%\services.exe sulla porta TCP 5110 con lo scopo di procurarsi delle possibili backdoor.
– %WINDIR%\services.exe sulla porta TCP 5112 con lo scopo di procurarsi un server FTP.
– %WINDIR%\services.exe sulla porta TCP 51100 con lo scopo di procurarsi un server FTP.

Sottrazione di informazioni – Dopo aver digitato con la tastiera una stringa che corrisponde alla seguente, viene avviata una procedura di “tracciamento”:
   • %any key%

– Cattura:
    • Battute di tastiera
    • Informazioni della finestra

Tecnologia Rootkit È una tecnologia specifica del malware. Il malware si nasconde dalle utilità di sistema, dalle applicazioni di sicurezza e, alla fine, dall'utente.

Nasconde il seguente:
– Le proprie chiavi di registro

Metodo utilizzato:
• Nascosto dalle Windows API

Dettagli del file Linguaggio di programmazione:
Il malware è stato scritto in Delphi.

Software di compressione:
Per complicarne l'individuazione e ridurre la dimensione del file, viene compresso con un software di compressione.

Per la descrizione "in breve" clicca qui.

Descrizione inserita da Andrei Gherman il Tue, 20 Sep 2005 09:01 (GMT+1)
Descrizione aggiornata da Andrei Ivanes il Tue, 20 Sep 2005 12:31 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Indietro