BDS/VanBot.S.1 - Backdoor Server

参照

概要

詳しい説明

統計

ウイルス	BDS/VanBot.S.1
発見日：	26/09/2006
タイプ	バックドア・サーバ型
感染報告有り	いいえ
感染報告	低
感染の可能性	中
ダメージ・ポテンシャル	中
スタティック・ファイル	はい
ファイル・サイズ	73.216 バイト
MD5　チェックサム	0444ebc4f529043cd9eecdae744af545
VDFファージョン：	6.36.00.60 - Tue, 26 Sep 2006 08:33 (GMT+1)
IVDFファージョン：	6.36.00.73 - Mon, 02 Oct 2006 16:11 (GMT+1)

一般情報 感染方法
   • ローカル・ネットワーク

別名
   • McAfee(マカフィー) W32/Sdbot.worm!73216
   • Kaspersky(カスペルスキー) Backdoor.Win32.VanBot.s
   • TrendMicro(トレンドマイクロ） WORM_SPYBOT.JQ
   • Sophos(ソフォス) W32/Sdbot-CRU
   • ウイルスバスター trojan Backdoor.VanBot.K

プラットフォーム/OS：
   • ウインドウズ 95
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • ファイルをダウンロードします。
   • ファイルを作成します。
   • レジストリの改変。
   • ソフトの脆弱性を利用します。
   • サード・パーティ・コントロール

ファイルそれ自体を以下の場所にコピーします。
• %SYSDIR%\winlogin.exe

ファイルをダウンロードしようとします：

– 場所は以下の通りです：
• http://dl1.debelizombi.com/**********
ハードディスクの以下のパスにセーヴされます： %TEMPDIR%\dl%7桁のランダムな文字列%.exe

レジストリ以下のレジストリ・キーは、再起動後にそのプロセスを実行するために追加されたものです：

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • "Windows Logon"="%SYSDIR%\winlogin.exe"

– HKCU\Software\Microsoft\Windows\CurrentVersion\Run
   • "Windows Logon"="%SYSDIR%\winlogin.exe"

以下のレジストリ・キーは変更されます：

– HKLM\SOFTWARE\Microsoft\Ole
   前の値
   • "EnableDCOM"="Y"
   新しい値
   • "EnableDCOM"="N"

ネットワーク感染 エクスプロイト(Exploit)
以下のエクスプロイト(Exploit)を利用します：
– MS03-026 (RPC インターフェイスのバッファオーバーランによりコードが実行される)
–MS06-040 : Windows の重要な更新 Server サービスの脆弱性により、リモートでコードが実行される (921883)

IRC システム情報を報告し、リモートコントロールを可能にするために以下のIRCサーバに接続します：

サーバ ircc.debelizombi**********
ポート： 8008
チャンネル #!v20!

– このマルウェアは以下の情報を収集し送る能力があります：
    • マルウェアの起動時間
    • 起動中のプロセスについての情報
    • ウインドウズOSについての情報

– その他以下のアクションを実行することもできます：
    • IRCサーバと接続します。
    • IRCサーバとの接続を終了します。
    • 実行ファイル
    • IRCチャンネルに入室する
    • プロセスを強制終了する
    • IRCチャンネルを退室する
    • リモートシェルを開く
    • DDoS攻撃を実行する
    • ネットワーク・スキャンの実行

その他 Mutex(ミューテック)
以下のMutex(ミューテック）を作成します：
• rxRizzo_v2.0

ファイルの詳細 プログラム言語:
このマルウェアプログラムはMS Visual C++で書かれています。

ランタイム・パッカー
検出されにくくするため、またファイルのサイズを縮小するため、以下のランタイム・パッカーで圧縮してあります。
• Morphine

簡単な説明はココにあります。.

この説明は Bogdan Iliuta によって Wed, 11 Oct 2006 11:14 (GMT+1) 書き込まれました。
この説明は Bogdan Iliuta によって Fri, 27 Oct 2006 15:01 (GMT+1) 更新されました。

» About Malware
» About Phishing
» Viruses In the Wild

« back