Worm/Sdbot.161792.5 - Worm

参照

概要

詳しい説明

統計

ウイルス	Worm/Sdbot.161792.5
発見日：	16/10/2006
タイプ	ワーム
感染報告有り	いいえ
感染報告	低
感染の可能性	中
ダメージ・ポテンシャル	中
スタティック・ファイル	はい
ファイル・サイズ	161.792 バイト
MD5　チェックサム	d03863b35cb9948f95c3b5b6b9dd85f1
VDFファージョン：	6.35.01.92 - Tue, 15 Aug 2006 06:39 (GMT+1)
IVDFファージョン：	6.35.01.93 - Tue, 15 Aug 2006 07:54 (GMT+1)

一般情報 感染方法
   • ローカル・ネットワーク

別名
   • Kaspersky(カスペルスキー) Backdoor.Win32.SdBot.aud
   • TrendMicro(トレンドマイクロ） BKDR_SDBOT.AFG
   • Eset IRC/SdBot

プラットフォーム/OS：
   • ウインドウズ 95
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • レジストリの改変。
   • ソフトの脆弱性を利用します。
   • サード・パーティ・コントロール

ファイルそれ自体を以下の場所にコピーします。
• %SYSDIR%\tourstartvist.exe

最初に実行したコピーの方を削除します。

レジストリ以下のレジストリ・キーは、再起動後にそのサービスを読み込むために追加されたものです：

– [HKLM\SYSTEM\CurrentControlSet\Services\trvist\Security]
   • "Security"=%hex値%

– [HKLM\SYSTEM\CurrentControlSet\Services\trvist]
   • "Type"=dword:00000110
     "Start"=dword:00000002
     "ErrorControl"=dword:00000000
     "ImagePath"="%SYSDIR%\tourstartvist.exe"
     "DisplayName"="trvist(trvist)"
     "ObjectName"="LocalSystem"
     "FailureActions"=%hex値%
     "Description"="Microsoft Windows Tourguide for Microsoft Vista (beta)"

– [HKLM\SYSTEM\CurrentControlSet\Services\trvist\Enum]
   • "0"="Root\\LEGACY_TRVIST\\0000"
     "Count"=dword:00000001
     "NextInstance"=dword:00000001

以下のレジストリ・キーが追加されます：

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_TRVIST]
   • "NextInstance"=dword:00000001

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_TRVIST\0000]
   • "Service"="trvist"
   • "Legacy"=dword:00000001
   • "ConfigFlags"=dword:00000000
   • "Class"="LegacyDriver"
   • "ClassGUID"="{8ECC055D-047F-11D1-A537-0000F8753ED1}"
   • "DeviceDesc"="trvist(trvist)"

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_TRVIST\0000\
   Control]
   • "*NewlyCreated*"=dword:00000000
   • "ActiveService"="trvist"

以下のレジストリ・キーは変更されます：

– [HKLM\SYSTEM\CurrentControlSet\Control]
   新しい値
   • "WaitToKillServiceTimeout"="7000"

– [HKLM\SYSTEM\CurrentControlSet\Control\ServiceCurrent]
   新しい値
   • @=dword:0000000c

ネットワーク感染感染を確かなものにするために、マルウェアは以下のように他のマシンに接続しようとします。

以下のネットワーク・シェアにそれ自身のコピーを作成します：
   • IPC$
   • C$
   • D$

エクスプロイト(Exploit)
– MS03-026 (RPC インターフェイスのバッファオーバーランによりコードが実行される)
– MS03-039 (RPCSS サービスのバッファオーバーランによりコードが実行される (824146))
– MS03-049 (Workstation サービスのバッファオーバーランにより、コードが実行される (828749))
– MS04-007 (ASN .1 の脆弱性により、コードが実行される)

IPアドレス作成
ランダムなIPアドレスを作りますが、その最初の2つの8ビットは同じままです。その後それらと接続しようとします。

感染プロセス
リモートロケーションにマルウェアをダウンロードするため、侵入したマシンにFTPスクリプトを作成します。

リモート実行：
–新しく感染したマシンに、マルウェアのリモート実行を開始しようとします。そのため、NetScheduleJobAdd機能を利用します。

IRC システム情報を報告し、リモートコントロールを可能にするために以下のIRCサーバに接続します：

サーバ pool.drowning.**********
ポート： 54932
チャンネル #rawfl
ニックネーム FSD-%4桁のランダムな文字列%@%IP アドレス%
パスワード lewlz

サーバ ruler.the-intranet.**********
ポート： 54932
チャンネル #rawfl
ニックネーム FSD-%4桁のランダムな文字列%@%IP アドレス%
パスワード lewlz

– その他以下のアクションを実行することもできます：
    • IRCサーバと接続します。
    • ネットワークシェアを無効にする
    • IRCサーバとの接続を終了します。
    • ダウンロード・ファイル
    • ネットワークシェアを有効にする
    • 実行ファイル
    • IRCチャンネルに入室する
    • IRCチャンネルを退室する
    • ネットワーク・スキャンの実行
    • ポート転送を実行する
    • それ自身をアップデートします。
    • ファイルをアップロードする

バックドア以下のポートが開かれます：

– %実行ファイル% 無作為に選ばれたTCPポート上に FTPサーバを供給するため

その他 Mutex(ミューテック)
以下のMutex(ミューテック）を作成します：
• merkjones

ファイルの詳細 プログラム言語:
このマルウェアプログラムはMS Visual C++で書かれています。

ランタイム・パッカー
検出されにくくするため、またファイルのサイズを縮小するため、以下のランタイム・パッカーで圧縮してあります。
• ASProtect

簡単な説明はココにあります。.

この説明は Monica Ghitun によって Mon, 16 Oct 2006 11:44 (GMT+1) 書き込まれました。
この説明は Monica Ghitun によって Wed, 22 Nov 2006 09:47 (GMT+1) 更新されました。

» About Malware
» About Phishing
» Viruses In the Wild

« back