BDS/Haxdoor.LF - Backdoor Server

Vedi anche

In breve

Descrizione completa

Statistiche

Nome del virus:	BDS/Haxdoor.LF
Scoperto:	18/10/2006
Tipo:	Backdoor Server
In circolazione (ITW):	No
Numero delle infezioni segnalate:	Basso
Potenziale di propagazione:	Basso
Potenziale di danni:	Medio
File statico:	Si
Dimensione del file:	55.436 Byte
Somma di controllo MD5:	06d5da22f8e834d2e19c9b086a6763a8
Versione VDF:	6.36.00.90
Versione IVDF:	6.36.00.106

Generale Metodo di propagazione:
   • Nessuna propria procedura di propagazione

Alias:
   • Mcafee: BackDoor-BAC!55436
   • Kaspersky: Backdoor.Win32.Haxdoor.lf
   • TrendMicro: PAK_Generic.001
   • F-Secure: W32/Goldun.NC
   • Sophos: Troj/Haxdoor-DG
   • Eset: Win32/Haxdoor

Piattaforme / Sistemi operativi:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effetti secondari:
   • Duplica file “maligni”
   • Modifica del registro
   • Accesso e controllo del computer da parte di terzi

File Vengono creati i seguenti file:

– %SYSDIR%\kgctini.dat
– %SYSDIR%\ydsvgd.sys Viene eseguito ulteriormente dopo che è stato completamente creato. Ulteriori analisi hanno accertato che questo file è anch'esso un malware. Riconosciuto come: BDS/Haxdoor.JU.1

– %SYSDIR%\qo.sys Viene eseguito ulteriormente dopo che è stato completamente creato. Ulteriori analisi hanno accertato che questo file è anch'esso un malware. Riconosciuto come: BDS/Haxdoor.JU.1

– %SYSDIR%\ycsvgd.sys Viene eseguito ulteriormente dopo che è stato completamente creato. Ulteriori analisi hanno accertato che questo file è anch'esso un malware. Riconosciuto come: BDS/Haxdoor.JU.1

– %SYSDIR%\qo.dll Viene eseguito ulteriormente dopo che è stato completamente creato. Ulteriori analisi hanno accertato che questo file è anch'esso un malware. Riconosciuto come: TR/PSW.PdPi.CT.1.D

– %SYSDIR%\ydsvgd.dll Viene eseguito ulteriormente dopo che è stato completamente creato. Ulteriori analisi hanno accertato che questo file è anch'esso un malware. Riconosciuto come: TR/PSW.PdPi.CT.1.D

– C:\system32\lps.dat
– %SYSDIR%\qo.dll

Registro Vengono aggiunte nel registro le seguenti chiavi con lo scopo di caricare i servizi dopo il riavvio:

– [HKLM\SYSTEM\CurrentControlSet\Services\ycsvgd]
   • "Type"=dword:00000001
   • "Start"=dword:00000001
   • "ErrorControl"=dword:00000000
   • "ImagePath"="\??\%SYSDIR%\ycsvgd.sys"
   • "DisplayName"="PTA Adapter"

– [HKLM\SYSTEM\CurrentControlSet\Services\ycsvgd\Security]
   • "Security"=%valori esadecimali%

– [HKLM\SYSTEM\CurrentControlSet\Services\ycsvgd\Enum]
   • "0"="Root\\LEGACY_YCSVGD\\0000"
   • "Count"=dword:00000001
   • "NextInstance"=dword:00000001

– [HKLM\SYSTEM\CurrentControlSet\Services\ydsvgd]
   • "Type"=dword:00000001
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000000
   • "ImagePath"="\??\%SYSDIR%\ycsvgc.sys"
   • "DisplayName"="PTA Adapter32"

– [HKLM\SYSTEM\CurrentControlSet\Services\ydsvgd\Security]
   • "Security"=%valori esadecimali%

– [HKLM\SYSTEM\CurrentControlSet\Services\ydsvgd\Enum]
   • "Count"=dword:00000000
   • "NextInstance"=dword:00000000
   • "INITSTARTFAILED"=dword:00000001

I valori delle seguenti chiavi di registro vengono rimossi:

– [HKLM\SYSTEM\CurrentControlSet\Services\VFILT]
   • "Start"

– [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess]
   • "start"

Crea la seguente riga con lo scopo di bypassare il firewall di Windows XP:

– [HKLM\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\
   FirewallPolicy\StandardProfile\AuthorizedApplications\List]
   • "%WINDIR%\Explorer.EXE"="%WINDIR%\Explorer.EXE:*:Enabled:explorer"

Vengono aggiunte le seguenti chiavi di registro:

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\
   ydsvgd]
   • "CID"="[%stringa di caratteri casuale%]"
   • "DllName"="ydsvgd.dll"
   • "Startup"="XWD33Sifix"
   • "Impersonate"=dword:00000001
   • "Asynchronous"=dword:00000001
   • "MaxWait"=dword:00000001

– [HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\ycsvgd.sys]
   • @="Driver"

– [HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\ycsvgd.sys]
   • @="Driver"

– [HKLM\SYSTEM\CurrentControlSet\Services\VFILT]
– [HKCU\Software\Microsoft\Internet Account Manager\Accounts]
– [HKCU\Identities\{%CLSID%}\Software\Microsoft\
   Internet Account Manager\Accounts]
– [HKCU\Software\RIT\The Bat!]

Viene cambiata la seguente chiave di registro:

– [HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\
   Memory Management]
   Nuovo valore:
   • "EnforceWriteProtection"=dword:00000000

Backdoor Le seguenti porte sono aperte:

– Explorer.EXE sulla porta TCP 16661 con lo scopo di procurarsi delle possibili backdoor.
– Explorer.EXE su una porta TCP casuale con lo scopo di procurarsi un server proxy Socks 5.
– Explorer.EXE su una porta TCP casuale con lo scopo di procurarsi un server HTTP.

Contatta il server:
Tutti i seguenti:
   • http://www.grci.info/**********
   • http://www.fotravel.com/**********

Come risultato può inviare informazioni e potrebbe venire fornito il controllo remoto. Questo è fatto tramite i metodi HTTP GET e POST, utilizzando uno script PHP.

Invia informazioni riguardanti:
    • Stato corrente del malware
    • Uptime del malware
    • Porta aperta

Come il virus si inserisce nei processi – Inserisce il seguente file in un processo: %SYSDIR%\ydsvgd.dll

    Tutti i seguenti processi:
   • Explorer.exe
   • %processi con finestre visibili%

Tecnologia Rootkit È una tecnologia specifica del malware. Il malware si nasconde dalle utilità di sistema, dalle applicazioni di sicurezza e, alla fine, dall'utente.

Nasconde il seguente:
– I propri file

– Il seguente processo:
   • Explorer.exe

Metodo utilizzato:
    • Nascosto dalle Windows API

“Aggancia” le seguenti funzioni API:
   • NtCreateProcess/ZwCreateProcess
   • NtCreateProcessEx/ZwCreateProcessEx
   • NtOpenProcess/ZwOpenProcess
   • NtOpenThread/ZwOpenThread/iswxdigit
   • NtQueryDirectoryFile/ZwQueryDirectoryFile
   • NtQuerySystemInformation/RtlGetNativeSystemInformation/ZwQuerySystemInformation

Dettagli del file Software di compressione:
Per complicarne l'individuazione e ridurre la dimensione del file, viene compresso con il seguente software di compressione:
• FSG

Per la descrizione "in breve" clicca qui.

Descrizione inserita da Monica Ghitun il Wed, 18 Oct 2006 11:45 (GMT+1)
Descrizione aggiornata da Adriana Popa il Mon, 20 Nov 2006 14:17 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Indietro