Worm/IRCBot.381952 - Worm

Vedi anche

In breve

Descrizione completa

Statistiche

Nome del virus:	Worm/IRCBot.381952
Scoperto:	01/09/2006
Tipo:	Worm
In circolazione (ITW):	No
Numero delle infezioni segnalate:	Basso
Potenziale di propagazione:	Medio
Potenziale di danni:	Medio
File statico:	Si
Dimensione del file:	381.952 Byte
Somma di controllo MD5:	1a1f6496107b1063313aba6af99fce8e
Versione VDF:	6.35.01.170
Versione IVDF:	6.35.01.174

Generale Metodo di propagazione:
   • Rete locale

Alias:
   • Mcafee: W32/Gaobot.worm.gen.e
   • TrendMicro: WORM_SDBOT.AFB
   • VirusBuster: virus Worm.IRCBot.ACM
   • Eset: Win32/IRCBot.TS trojan
   • Bitdefender: Trojan.PWS.Lineage.UG

Precedentemente individuato come:
   • TR/PSW.Lineage.aeh.1

Piattaforme / Sistemi operativi:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effetti secondari:
   • Modifica del registro
   • Sfrutta la vulnerabilità del software
   • Sottrae informazioni
   • Accesso e controllo del computer da parte di terzi

File Fa una copia di se stesso utilizzando un nome file dalla lista:
– A: %SYSDIR%\ Utilizzando uno dei seguenti nomi:
   • Isass.exe
   • csrs.exe
   • algs.exe
   • spoolsvc.exe
   • spooIsv.exe
   • lssas.exe
   • winamp.exe
   • explorer.exe
   • iexplore.exe
   • firewall.exe
   • logon.exe

Registro Uno dei seguenti valori viene aggiunto per eseguire il processo dopo il riavvio:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • Local Security Authority Service = %SYSDIR%\Isass.exe
   • Client Server Runtime Process = %SYSDIR%\csrs.exe
   • Application Layer Gateway Service = %SYSDIR%\algs.exe
   • Spooler SubSystem App = %SYSDIR%\spoolsvc.exe
   • Spooler SubSystem App = %SYSDIR%\spooIsv.exe
   • Local Security Authority Service = %SYSDIR%\lssas.exe
   • Winamp Agent = %SYSDIR%\winamp.exe
   • Windows Explorer = %SYSDIR%\explorer.exe
   • Microsoft Internet Explorer = %SYSDIR%\iexplore.exe
   • Windows Network Firewall = %SYSDIR%\firewall.exe
   • Windows Logon Application = %SYSDIR%\logon.exe

“Infezione” della rete Per assicurarsi la propria propagazione, il malware tenta di connettersi ad altre macchine come descritto qui sotto:

Fa più copie di se stesso nelle seguenti condivisioni di rete:
   • IPC$
   • C$\Documents and Settings\All Users\Documents\
   • C$\shared
   • C$\windows\system32
   • C$\windows
   • e$\shared
   • d$\shared
   • c$\winnt
   • c$\winnt\system32
   • ADMIN$\system32\
   • ADMIN$
   • print$

Utilizza le seguenti informazioni di login per aprirsi l'accesso alla macchina remota:

– Una lista di Nomi utente e Password:
   • winpass; blank; nokia; orainstall; sqlpassoainstall; db1234; db2; db1;
      databasepassword; databasepass; dbpassword; dbpass; domainpassword;
      domainpass; hello; hell; love; money; slut; bitch; fuck; exchange;
      loginpass; login; qwe; zxc; asd; qaz; win2000; winnt; winxp; win2k;
      win98; windows; oeminstall; oem; accounting; accounts; letmein; sex;
      outlook; mail; qwerty; temp123; temp; null; default; changeme; demo;
      test; 2005; 2004; 2001; secret; payday; deadline; work; 1234567890;
      123456789; 12345678; 1234567; 123456; 12345; 1234; 123; 007; pwd;
      pass; pass1234; dba; passwd; password; password1; abc; staff; teacher;
      owner; student; intranet; lan; main; office; control; siemens; compaq;
      dell; cisco; ibm; oracle; sql; data; access; database; domain; god;
      backup; technical; mary; katie; kate; george; eric; none; guest;
      chris; ian; neil; lee; brian; susan; sue; sam; luke; peter; john;
      mike; bill; fred; joe; jen; bob; wwwadmin; oemuser; user; homeuser;
      home; internet; www; web; root; server; linux; unix; computer; adm;
      admin; admins; administrat; administrateur; administrador;
      administrator

Exploit:
Sfrutta le seguenti vulnerabilità:
– MS03-026 (Buffer Overrun in RPC Interface)
– MS03-049 (Buffer Overrun in the Workstation Service)
– MS04-011 (LSASS Vulnerability)
– MS05-039 (Vulnerability in Plug and Play)
–Tenta di pianificare una esecuzione remota del malware, sulla macchina “infettata” recentemente. Per fare questo utilizza la funzione NetScheduleJobAdd.

IRC Per inviare informazioni sul sistema e per fornire il controllo remoto, si connette ai seguenti server IRC:

Server: l33.ko0P**********
Porta: 8585
Canale: #nerds#
Nickname: %stringa di caratteri casuale%

Server: a11.je34**********
Porta: 8585
Canale: #nerds#
Nickname: %stringa di caratteri casuale% %stringa di caratteri casuale%

– Questo malware ha la capacità di recuperare ed inviare informazioni quali:
    • Velocità della CPU
    • Utente corrente
    • Spazio libero su disco
    • Memoria libera
    • Informazioni sulla rete
    • Informazioni sui processi in corso
    • Dimensione della memoria
    • Nome Utente
    • Informazioni sul sistema operativo Windows

– In più ha la capacità di effettuare azioni quali:
    • Lanciare un attacco DdoS SYN
    • Download di file
    • Eseguire file
    • Terminare il processo
    • Effettuare scansione della rete
    • Inizia keylog
    • Iniziare procedura di diffusione

Sottrazione di informazioni Prova a sottrarre le seguenti informazioni:
– Le password inserite nei campi di input password
– Le password registrate utilizzate dalla funzione di completamento automatico

– Le seguenti chiavi CD:
   • Unreal
   • Steam
   • World Of Warcraft
   • Conquer Online

– Le password dai seguenti programmi:
   • FlashFXP
   • MSN
   • Outlook

Dettagli del file Linguaggio di programmazione:
Il malware è stato scritto in MS Visual C++.

Software di compressione:
Per complicarne l'individuazione e ridurre la dimensione del file, viene compresso con un software di compressione.

Per la descrizione "in breve" clicca qui.

Descrizione inserita da Andrei Gherman il Wed, 20 Sep 2006 13:02 (GMT+1)
Descrizione aggiornata da Andrei Gherman il Wed, 20 Sep 2006 14:06 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back