Worm/IRCBot.239616 - Worm

Vedi anche

In breve

Descrizione completa

Statistiche

Nome del virus:	Worm/IRCBot.239616
Scoperto:	18/07/2006
Tipo:	Worm
In circolazione (ITW):	No
Numero delle infezioni segnalate:	Basso
Potenziale di propagazione:	Medio
Potenziale di danni:	Medio
File statico:	Si
Dimensione del file:	239.616 Byte
Somma di controllo MD5:	7017883b7565805de4cb7d426461d89d
Versione VDF:	6.35.01.219
Versione IVDF:	6.35.01.223

Generale Metodo di propagazione:
   • Rete locale

Alias:
   • Kaspersky: Backdoor.Win32.Delf.atg
   • TrendMicro: BKDR_DELF.BSG
   • F-Secure: Backdoor.Win32.Delf.atg
   • Eset: Win32/Rbot
   • Bitdefender: Backdoor.Delf.TM

Precedentemente individuato come:
   • BDS/Delf.atg.74

Piattaforme / Sistemi operativi:
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effetti secondari:
   • Clona un file “maligno”
   • Modifica del registro
   • Accesso e controllo del computer da parte di terzi

File Viene creato il seguente file:

– %SYSDIR%\%stringa di caratteri casuale%.exe Viene eseguito ulteriormente dopo che è stato completamente creato. Utilizzato per nascondere un processo.

Registro Le seguenti chiavi di registro sono aggiunte continuamente in un loop infinito, con lo scopo di eseguire il processo dopo il riavvio.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "routing"="%stringa di caratteri casuale%.exe"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
   • "routing"="%stringa di caratteri casuale%.exe"

Viene aggiunta la seguente chiave di registro:

– [HKCU\Software\Microsoft\OLE]
   • "routing"="%stringa di caratteri casuale%.exe"

Viene cambiata la seguente chiave di registro:

– [HKLM\SYSTEM\CurrentControlSet\Control\Lsa]
   Valore precedente:
   • "restrictanonymous"=dword:00000000
   Nuovo valore:
   • "restrictanonymous"=dword:00000001

“Infezione” della rete Per assicurarsi la propria propagazione, il malware tenta di connettersi ad altre macchine come descritto qui sotto:

Fa più copie di se stesso nelle seguenti condivisioni di rete:
   • IPC$
   • C$
   • ADMIN$

Exploit:
Sfrutta la seguente vulnerabilità:
– MS04-007 (ASN.1 Vulnerability)

Generazione dell'indirizzo IP:
Crea degli indirizzi IP casuali mentre mantiene il primo ottetto dal proprio indirizzo. In seguito prova a stabilire una connessione con gli indirizzi creati.

Processo virale:
Crea uno script FTP sulla macchina compromessa per scaricare il malware nella posizione remota.

Esecuzione remota:
–Tenta di pianificare una esecuzione remota del malware, sulla macchina “infettata” recentemente. Per fare questo utilizza la funzione NetScheduleJobAdd.

IRC Per inviare informazioni sul sistema e per fornire il controllo remoto, si connette al seguente server IRC:

Server: bitchs.shitzone.**********
Porta: 9899
Password del server: S.T
Canale: #$ocks
Nickname: [XP]|%8-digit random character string%

– Questo malware ha la capacità di recuperare ed inviare informazioni quali:
    • Velocità della CPU
    • Utente corrente
    • Dettagli sui driver
    • Spazio libero su disco
    • Memoria libera
    • Uptime del malware
    • Informazioni sulla rete
    • Informazioni sui processi in corso
    • Dimensione della memoria
    • Nome Utente
    • Informazioni sul sistema operativo Windows

– In più ha la capacità di effettuare azioni quali:
    • connettere al server IRC
    • Lanciare un attacco DdoS SYN
    • Disattivare le condivisioni di rete
    • disconnettere dal server IRC
    • Attivare le condivisioni di rete
    • Eseguire file
    • Terminare il processo
    • Effettuare un reindirizzamento delle porte
    • Riavviare il sistema
    • Inviare email

Varie Mutex:
Crea il seguente Mutex:
• by h4ck3r..

Dettagli del file Linguaggio di programmazione:
Il malware è stato scritto in MS Visual C++.

Software di compressione:
Per complicarne l'individuazione e ridurre la dimensione del file, viene compresso con un software di compressione.

Per la descrizione "in breve" clicca qui.

Descrizione inserita da Adriana Popa il Thu, 07 Sep 2006 11:26 (GMT+1)
Descrizione aggiornata da Adriana Popa il Wed, 13 Sep 2006 11:18 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back