BDS/Agent.RF.2 - Backdoor Server

参照

概要

詳しい説明

統計

ウイルス	BDS/Agent.RF.2
発見日：	02/08/2006
タイプ	バックドア・サーバ型
感染報告有り	いいえ
感染報告	低
感染の可能性	低
ダメージ・ポテンシャル	低～中
スタティック・ファイル	はい
ファイル・サイズ	41.472 バイト
MD5　チェックサム	29ab2c1a647058e1613e2c1661caff14
VDFファージョン：	6.35.01.36 - Wed, 02 Aug 2006 07:54 (GMT+1) - Wed, 02 Aug 2006 07:54 (GMT+1)
IVDFファージョン：	6.35.01.36 - Wed, 02 Aug 2006 07:54 (GMT+1) - Wed, 02 Aug 2006 07:54 (GMT+1)

一般情報 感染方法
   • それ自体に伝染能力はない

別名
   • Kaspersky(カスペルスキー) Backdoor.Win32.Agent.acx
   • TrendMicro(トレンドマイクロ） BKDR_AGENT.DAB
   • ビットディフェンダー(Bitdefender)： Backdoor.Agent.RF

プラットフォーム/OS：
   • ウインドウズ 95
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • セキュリティの設定を低くします。
   • レジストリの改変。

ファイルそれ自体を以下の場所にコピーします。
• %SYSDIR%\taskmgn.exe

レジストリ以下のレジストリ・キーは、再起動後にそのプロセスを実行するために追加されたものです：

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • "Windows Task Manager"="%SYSDIR%\taskmgn.exe"

以下のレジストリ・キーが、中に含まれるすべての値とサブキーと一緒に消されます。
   • HKCU\SOFTWARE\Microsoft\DMSDOS\RM

以下のレジストリ・キーが追加されます：

– HKCU\Software\Microsoft\DMSDOS
   • "CurrentVersion"=dword:00000023
   • "Last Update"="%現在の日付% %現在の時間%"
   • "Next Update"="%未来の日付け% %現在の時間%"
   • "StartupURL"="http://87.249.38.126/update/s.dat"
   • "Id"="%hex 数字% "

– HKCU\SOFTWARE\Microsoft\DMSDOS\RM
   • "%実行されたマルウェアのディレクトリ%\%実行ファイル%"="%実行されたマルウェアのディレクトリ%\%実行ファイル%"

以下のレジストリ・キーは変更されます：

– HKLM\SOFTWARE\Microsoft\Security Center
   新しい値
   • "FirewallOverride"=dword:00000001
   • "AntiVirusOverride"=dword:00000001

プロセス中断以下のプロセスは終了されます：
   • Anti-Trojan.exe; ANTS.exe; apvxdwin.exe; ATCON.exe; ATUPDATER.exe;
      ATWATCH.exe; AUPDATE.exe; AUTODOWN.exe; AUTOTRACE.exe; AUTOUPDATE.exe;
      Avconsol.exe; AVP.exe; AVP32.exe; avpcc.exe; avpm.exe; AVPUPD.exe;
      Avsynmgr.exe; AVWUPD32.exe; AVXQUAR.exe; bdmcon.exe; bdoesrv.exe;
      bdss.exe; CMGrdian.exe; drwebupw.exe; GUARD.exe; iamapp.exe;
      iamserv.exe; ICLOAD95.exe; ICLOADNT.exe; ICMON.exe; ICSSUPPNT.exe;
      ICSUPP95.exe; ICSUPPNT.exe; LUCOMSERVER.exe; MCAGENT.exe;
      mcupdate.exe; MINILOG.exe; MOOLIVE.exe; NAVAPW32.exe; NMAIN.exe;
      NPROTECT.exe; NSCHED32.exe; NUPGRADE.exe; regedit.exe; regedt32.exe;
      RuLaunch.exe; Vshwin32.exe; VsStat.exe; zatutor.exe; zonealarm.exe

バックドア以下のポートが開かれます：

– %SYSDIR%\taskmgn.exe 無作為に選ばれたTCPポート上に Socks 4 プロキシ・サーバを準備するため

サーバに接続します。
以下のもの：
   • http://87.249.38.126/asg234/**********?v=%番号% &u=%ランダムな文字列%&t=%文字% &p=%開かれたポート%&g=%hex 数字% &w=%オペレーティングシステム%
   • http://87.249.38.126/update/**********?v=%番号%

以下についての情報を送ります：
    • 開かれたポート
    • ウインドウズOSについての情報

その他インターネット接続環境を調べるため、以下のウェブサイトに接続しようとします：
• http://v5.windowsupdate.microsoft.com/v5consumer/QyehIhd.inc

Mutex(ミューテック)
以下のMutex(ミューテック）を作成します：
• 68E1D888-19B3-4F40-8941-95EC38E4AF69

ファイルの詳細 ランタイム・パッカー
検出されにくくするため、またファイルのサイズを縮小するため、以下のランタイム・パッカーで圧縮してあります。
• UPX

簡単な説明はココにあります。.

この説明は Ionut Slaveanu によって Tue, 08 Aug 2006 16:03 (GMT+1) 書き込まれました。
この説明は Ionut Slaveanu によって Mon, 28 Aug 2006 10:15 (GMT+1) 更新されました。

» About Malware
» About Phishing
» Viruses In the Wild

« back