Worm/IRCBot.111616.2 - Worm

Vedi anche

In breve

Descrizione completa

Statistiche

Nome del virus:	Worm/IRCBot.111616.2
Scoperto:	21/09/2006
Tipo:	Worm
In circolazione (ITW):	Si
Numero delle infezioni segnalate:	Basso
Potenziale di propagazione:	Medio
Potenziale di danni:	Medio
File statico:	Si
Dimensione del file:	111.616 Byte
Somma di controllo MD5:	7c5ef2a797028ab9b312b263e30Ea6e5
Versione VDF:	6.36.00.42
Versione IVDF:	6.36.00.52

Generale Metodi di propagazione:
   • Rete locale
   • Messenger

Alias:
   • Kaspersky: Backdoor.Win32.IRCBot.wo
   • TrendMicro: WORM_SPYBOT.EX
   • Sophos: W32/Vanebot-M

Piattaforme / Sistemi operativi:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP

Effetti secondari:
   • Disattiva le applicazioni di sicurezza
   • Registra le battute di tastiera
   • Modifica del registro
   • Sfrutta la vulnerabilità del software
   • Sottrae informazioni
   • Accesso e controllo del computer da parte di terzi

File Si copia alla seguente posizione:
• %SYSDIR%\dllcache\dragonage.exe

Cancella la copia di se stesso eseguita inizialmente.

Registro Le seguenti chiavi di registro vengono aggiunte per caricare il servizio dopo il riavvio:

– HKLM\SYSTEM\CurrentControlSet\Services\Dragon Age - Bioware
   • "Type"=dword:00000110
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000000
   • "ImagePath"="%SYSDIR%\dllcache\dragonage.exe"
   • "DisplayName"="Dragon Age - Bioware"
   • "ObjectName"="LocalSystem"
   • "FailureActions"=%hex value%
   • "Description"="Dragon Age - Bioware."

– HKLM\SYSTEM\CurrentControlSet\Services\Dragon Age - Bioware\
   Security
   • "Security"=%hex value%

– HKLM\SYSTEM\CurrentControlSet\Services\Dragon Age - Bioware\Enum
   • "0"="Root\\LEGACY_DRAGON_AGE_-_BIOWARE\\0000"
   • "Count"=dword:00000001
   • "NextInstance"=dword:00000001

Vengono aggiunte le seguenti chiavi di registro:

– HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_DRAGON_AGE_-_BIOWARE
   • "NextInstance"=dword:00000001

– HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_DRAGON_AGE_-_BIOWARE\
   0000
   • "Service"="Dragon Age - Bioware"
   • "Legacy"=dword:00000001
   • "ConfigFlags"=dword:00000000
   • "Class"="LegacyDriver"
   • "ClassGUID"="{8ECC055D-047F-11D1-A537-0000F8753ED1}"
   • "DeviceDesc"="Dragon Age - Bioware"

– HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_DRAGON_AGE_-_BIOWARE\
   0000\Control
   • "*NewlyCreated*"=dword:00000000
   • "ActiveService"="Dragon Age - Bioware"

Vengono cambiate le seguenti chiavi di registro:

Disattiva il firewall di Windows XP:
– HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess
   Valore precedente:
   • "Start"=0x3
   Nuovo valore:
   • "Start"=0x4

– HKLM\SYSTEM\CurrentControlSet\Services\wuauserv
   Valore precedente:
   • "Start"=0x2
   Nuovo valore:
   • "Start"=0x4

– HKLM\SYSTEM\CurrentControlSet\Control\Lsa
   Valore precedente:
   • "lmcompatibilitylevel"=0
   Nuovo valore:
   • "lmcompatibilitylevel"=1

– HKLM\SYSTEM\CurrentControlSet\Control\Lsa
   Valore precedente:
   • "restrictanonymous"=0
   Nuovo valore:
   • "restrictanonymous"=1

– HKLM\SOFTWARE\Microsoft\Ole
   Valore precedente:
   • "EnableDCOM"="Y"
   Nuovo valore:
   • "EnableDCOM"="N"

Messenger Si diffonde via Messenger. Le caratteristiche sono descritte sotto:

– MSN Messenger
– Yahoo Messenger

“Infezione” della rete Per assicurarsi la propria propagazione, il malware tenta di connettersi ad altre macchine come descritto qui sotto:

Exploit:
Sfrutta le seguenti vulnerabilità:
– MS02-061 (Elevation of Privilege in SQL Server Web)
– MS04-007 (ASN.1 Vulnerability)
– MS05-039 (Vulnerability in Plug and Play)

IRC Per inviare informazioni sul sistema e per fornire il controllo remoto, si connette al seguente server IRC:

Server: roma.hottest.**********
Porta: 4615
Canale: #.roma.#
Nickname: [0]USA|%sistema operativo%%stringa casuale di sei caratteri%
Password: romz

– Questo malware ha la capacità di recuperare ed inviare informazioni quali:
    • Password memorizzate nella cache
    • Informazioni sulla rete
    • Informazioni sul sistema operativo Windows

– In più ha la capacità di effettuare azioni quali:
    • Lanciare un attacco DdoS SYN
    • Download di file
    • Terminare il processo
    • Aprire condivisione remota
    • Effettuare scansione della rete
    • Inizia keylog
    • Iniziare procedura di diffusione
    • Terminare il processo
    • Aggiornarsi

Processi terminati I processi che contengono uno dei seguenti “titolo finestra” vengono terminati:
   • Ad-aware; spyware; hijack; norton; mcafee; f-pro; lockdown; firewall;
      blackice; vsmon; zonea; spybot; nod32; reged; troja

I seguenti servizi vengono disattivati:
   • Norton AntiVirus Auto Protect Service
   • Mcshield
   • Panda Antivirus

Backdoor Le seguenti porte sono aperte:

– %SYSDIR%\dllcache\dragonage.exe su una porta TCP casuale con lo scopo di procurarsi un server FTP.
– %SYSDIR%\dllcache\dragonage.exe su una porta TCP casuale

Sottrazione di informazioni – Dopo aver digitato con la tastiera una stringa che corrisponde a una delle seguenti, viene avviata una procedura di “tracciamento”:
   • e-gold
   • e-silver
   • e-platinum
   • e-palladium
   • e-metal
   • Better Money

– Cattura:
    • Battute di tastiera

– Dopo aver visitato un sito web viene avviata una procedura di “tracciamento”:
   • e-gold.com/srk.asp

Come il virus si inserisce nei processi – Inserisce il seguente file in un processo: %SYSDIR%\dllcache\dragonage.exe

– Inserisce una procedura di “process watching” in un processo.

Nome del processo:
• %SYSDIR%\services.exe

Varie Mutex:
Crea il seguente Mutex:
• Dragon Age
In più contiene la seguente stringa:
• Communism returns

Dettagli del file Linguaggio di programmazione:
Il malware è stato scritto in MS Visual C++.

Software di compressione:
Per complicarne l'individuazione e ridurre la dimensione del file, viene compresso con un software di compressione.

Per la descrizione "in breve" clicca qui.

Descrizione inserita da Bogdan Iliuta il Wed, 27 Sep 2006 15:17 (GMT+1)
Descrizione aggiornata da Bogdan Iliuta il Fri, 20 Oct 2006 14:30 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Indietro