Worm/Sdbot.70059.17 - Worm

Vedi anche

In breve

Descrizione completa

Statistiche

Nome del virus:	Worm/Sdbot.70059.17
Scoperto:	26/09/2006
Tipo:	Worm
In circolazione (ITW):	No
Numero delle infezioni segnalate:	Basso
Potenziale di propagazione:	Medio
Potenziale di danni:	Medio
File statico:	Si
Dimensione del file:	70.059 Byte
Somma di controllo MD5:	9618482b713f56a7ce10d7221c4ed22f
Versione VDF:	6.36.00.60
Versione IVDF:	6.36.00.73

Generale Metodi di propagazione:
   • Rete locale
   • Unità di rete mappata

Alias:
   • Mcafee: W32/Sdbot.worm!MS06-040
   • Kaspersky: Backdoor.Win32.SdBot.aad
   • TrendMicro: WORM_SDBOT.HO
   • Sophos: W32/Tilebot-HD
   • VirusBuster: virus Worm.SdBot.DOG
   • Bitdefender: Backdoor.Sdbot.BGO

Piattaforme / Sistemi operativi:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP

Effetti secondari:
   • Disattiva le applicazioni di sicurezza
   • Scarica un file
   • Duplica file
   • Clona un file “maligno”
   • Modifica del registro
   • Sfrutta la vulnerabilità del software
   • Accesso e controllo del computer da parte di terzi

File Si copia alla seguente posizione:
• %WINDIR%\lsass.exe

Delle sezioni vengono aggiunte ai seguenti file.
– A: %SYSDIR%\sfc_os.dll – A: %SYSDIR%\ftp.exe – A: %SYSDIR%\tftp.exe

Cancella la copia di se stesso eseguita inizialmente.

Registro Le seguenti chiavi di registro vengono aggiunte per caricare il servizio dopo il riavvio:

– HKLM\SYSTEM\CurrentControlSet\Services\Spool SubSystem App
   • "Type"=dword:00000110
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000000
   • "ImagePath"="%WINDIR%\lsass.exe"
   • "DisplayName"="Spool SubSystem App"
   • "ObjectName"="LocalSystem"
   • "FailureActions"=%hex value%
   • "Description"="Spool SubSystem App"

Vengono aggiunte le seguenti chiavi di registro:

– HKLM\SYSTEM\CurrentControlSet\Services\Spool SubSystem App\Security
   • "Security"=%hex value%

– HKLM\SYSTEM\CurrentControlSet\Services\Spool SubSystem App\Enum
   • "0"="Root\\LEGACY_SPOOL_SUBSYSTEM_APP\\0000"
   • "Count"=dword:00000001
   • "NextInstance"=dword:00000001

– HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SPOOL_SUBSYSTEM_APP
   • "NextInstance"=dword:00000001

– HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SPOOL_SUBSYSTEM_APP\
   0000
   • "Service"="Spool SubSystem App"
   • "Legacy"=dword:00000001
   • "ConfigFlags"=dword:00000000
   • "Class"="LegacyDriver"
   • "ClassGUID"="{8ECC055D-047F-11D1-A537-0000F8753ED1}"
   • "DeviceDesc"="Spool SubSystem App"

– HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SPOOL_SUBSYSTEM_APP\
   0000\Control
   • "*NewlyCreated*"=dword:00000000
   • "ActiveService"="Spool SubSystem App"

“Infezione” della rete Per assicurarsi la propria propagazione, il malware tenta di connettersi ad altre macchine come descritto qui sotto:

Fa più copie di se stesso nelle seguenti condivisioni di rete:
   • c$\windows\system32
   • c$\winnt\system32
   • ADMIN$\system32
   • ADMIN$

Exploit:
Sfrutta le seguenti vulnerabilità:
– MS02-061 (Elevation of Privilege in SQL Server Web)
– MS03-026 (Buffer Overrun in RPC Interface)
– MS03-049 (Buffer Overrun in the Workstation Service)
– MS04-007 (ASN.1 Vulnerability)
– MS04-011 (LSASS Vulnerability)

Processo virale:
Crea uno script FTP sulla macchina compromessa per scaricare il malware nella posizione remota.

Esecuzione remota:
–Tenta di pianificare una esecuzione remota del malware, sulla macchina “infettata” recentemente. Per fare questo utilizza la funzione NetScheduleJobAdd.

IRC Per inviare informazioni sul sistema e per fornire il controllo remoto, si connette al seguente server IRC:

Server: mail2.TIKTIKZ.COM
Porta: 9632;7412
Canale: #z#
Nickname: [P00|USA|%stringa casuale di otto caratteri%]
Password: m00

– Questo malware ha la capacità di recuperare ed inviare informazioni quali:
    • Velocità della CPU
    • Utente corrente
    • Spazio libero su disco
    • Memoria libera
    • Uptime del malware
    • Informazioni sulla rete
    • Informazioni sui processi in corso
    • Dimensione della memoria
    • Informazioni sul sistema operativo Windows

– In più ha la capacità di effettuare azioni quali:
    • Lanciare un attacco DdoS ICMP
    • Lanciare un attacco DdoS SYN
    • Lancia un attacco DdoS UDP
    • Disattivare le condivisioni di rete
    • Download di file
    • Modificare il registro
    • Attivare le condivisioni di rete
    • Eseguire file
    • Terminare il processo
    • Aprire condivisione remota
    • Eseguire un attacco DdoS
    • Effettuare scansione della rete
    • Effettuare un reindirizzamento delle porte
    • Terminare il malware
    • Aggiornarsi

Backdoor Contatta il server:
Il seguente:
• htp://www.littleworld.pe.kr/**********

Questo viene fatto tramite la richiesta HTTP GET in uno script PHP.

Come il virus si inserisce nei processi – Inserisce il seguente file in un processo: %SYSDIR%\sfc_os.dll

    Tutti i seguenti processi:
   • %SYSDIR%\winlogon.exe
   • %SYSDIR%\svchost.exe
   • %SYSDIR%\spoolsv.exe

Varie Mutex:
Crea il seguente Mutex:
• w7p5h9e5k7x5

Anti debugging
Verifica se è presente il seguente file:
• \\.\NTICE

File patching:
Ha la capacità di modificare il tcpip.sys per incrementare il numero massimo di connessioni. Può corrompere il file e interrompere le connessioni di rete.
Ha la capacità di modificare il file sfc_os.dll alla riga 0000E2B8 con lo scopo di disabilitare la Windows File Protection (WFP). Con il WFP si intende evitare alcuni dei problemi comuni che causano incompatibilità tra le DLL.

Dettagli del file Linguaggio di programmazione:
Il malware è stato scritto in MS Visual C++.

Software di compressione:
Per complicarne l'individuazione e ridurre la dimensione del file, viene compresso con il seguente software di compressione:
• PEnguinCrypt

Per la descrizione "in breve" clicca qui.

Descrizione inserita da Bogdan Iliuta il Mon, 09 Oct 2006 17:08 (GMT+1)
Descrizione aggiornata da Bogdan Iliuta il Fri, 27 Oct 2006 13:39 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Indietro