Precisa de ajuda? Peça à comunidade ou contrate um perito.
Acesse a Avira Answers
VrusBDS/Codbot.AE.1
Data em que surgiu:13/12/2012
Tipo:Servidor Backdoor
Includo na lista "In The Wild"Sim
Nvel de danos:Baixo
Nvel de distribuio:Mdio
Nvel de risco:Mdio
Ficheiro esttico:Sim
Tamanho:49.152 Bytes
MD5 checksum:15870257aa24dac575191161c4d52781
Verso VDF:7.11.53.216

 Vulgarmente Meio de transmisso:
   • Rede local


Alias:
   •  Symantec: W32.Toxbot
   •  Mcafee: W32/Sdbot.worm.gen.w
   •  Kaspersky: Backdoor.Win32.Codbot.ae
   •  TrendMicro: WORM_SDBOT.BJA
   •  VirusBuster: Worm.Codbot.S


Sistemas Operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003


Efeitos secundrios:
   • Descarrega ficheiros maliciosos
   • Guarda as teclas digitadas
   • Altera o registo do Windows
   • Aproveita-se de vulnerabilidades do software
   • Possibilita acesso no autorizado ao computador

 Ficheiros Autocopia-se para a seguinte localizao:
   • %SYSDIR%\netddeclnt.exe



Apaga a cpia executada inicialmente.



criado o seguinte ficheiro:

– Ficheiro temporrio que poder ser apagado mais tarde:
   • %TEMPDIR%\del.bat

 Registry (Registo do Windows) So adicionados os seguintes valores ao registo do Windows de forma a que os servios sejam carregados depois do computador ser reiniciado:

HKLM\SYSTEM\CurrentControlSet\Services\NetDDEclnt]
   • "Type"=dword:00000110
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000000
   • "ImagePath"="%directrio de execuo do malware%\\%ficheiro executado%"
   • "DisplayName"="Network DDE Client"
   • "ObjectName"="LocalSystem"
   • "FailureActions"=hex:05,00,00,00,00,00,00,00,00,00,00,00,01,00,00,00,42,00,42,\
   • 00,01,00,00,00,01,00,00,00
   • "Description"="Provides network transport and security for Dynamic Data Exchange (DDE) for programs running on the same computer or on different computers."

HKLM\SYSTEM\CurrentControlSet\Services\NetDDEclnt\Enum]
   • "0"="Root\\LEGACY_NETDDECLNT\\0000"
   • "Count"=dword:00000001
   • "NextInstance"=dword:00000001
   • "INITSTARTFAILED"=dword:00000001

[HKLM\SYSTEM\CurrentControlSet\Services\NetDDEclnt\Security]
   • "Security"=hex:01,00,14,80,90,00,00,00,9c,00,00,00,14,00,00,00,30,00,00,00,02,\
      00,1c,00,01,00,00,00,02,80,14,00,ff,01,0f,00,01,01,00,00,00,00,00,01,00,00,\
      00,00,02,00,60,00,04,00,00,00,00,00,14,00,fd,01,02,00,01,01,00,00,00,00,00,\
      05,12,00,00,00,00,00,18,00,ff,01,0f,00,01,02,00,00,00,00,00,05,20,00,00,00,\
      20,02,00,00,00,00,14,00,8d,01,02,00,01,01,00,00,00,00,00,05,0b,00,00,00,00,\
      00,18,00,fd,01,02,00,01,02,00,00,00,00,00,05,20,00,00,00,23,02,00,00,01,01,\
      00,00,00,00,00,05,12,00,00,00,01,01,00,00,00,00,00,05,12,00,00,00



So adicionadas as seguintes chaves ao registo:

[HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\NetDDEclnt]
   • @="Service"

[HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\NetDDEclnt]
   • @="Service

[HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_NETDDECLNT\0000]
   • "Service"="NetDDEclnt"
   • "Legacy"=dword:00000001
   • "ConfigFlags"=dword:00000000
   • "Class"="LegacyDriver"
   • "ClassGUID"="{8ECC055D-047F-11D1-A537-0000F8753ED1}"
   • "DeviceDesc"="Network DDE Client"

[HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_NETDDECLNT\0000\
   Control]
   • "*NewlyCreated*"=dword:00000000
   • "ActiveService"="NetDDEclnt"

 Infeco da rede  Para assegurar a sua propagao o malware tenta ligar-se a outras mquinas como descrito abaixo.


Exploit:
Faz uso dos seguintes Exploits:
– MS02-061 (Elevation of Privilege in SQL Server Web)
– MS03-007 (Unchecked Buffer in Windows Component)
– MS03-026 (Buffer Overrun in RPC Interface)
– MS04-011 (LSASS Vulnerability)


Processo de infeco:
Cria um script FTP na mquina infectada para permitir o download do malware da mquina atacante.


Lentido:
Devido aos mltiplos processos de rede criados, um computador infectado torna-se numa mquina lenta e pouco utilizvel.

 IRC Para enviar informaes do sistema e permitir controlo remoto liga-se ao servidor de IRC:

Servidor: %Desconhecido%
Canal #exploit

Servidor: %Desconhecido%
Canal #raw



 Este malware tem a capacidade de recolher e enviar a seguinte informao:
    • Velocidade do CPU
    • Espao disponvel no disco
    • Memria disponvel
    • Informaes sobre a rede
    • Platform ID
    • Informao sobre processos em execuo
    • Directrio de sistema
    • Directrio do Windows

 Roubos de informao Tenta roubar a seguinte informao:

iniciada uma rotina de logging depois de digitadar um dos seguintes textos:
   • bank
   • login
   • paypal
   • e-bay
   • ebay

 Detalhes do ficheiro Linguagem de programao:
O programa de malware est escrito em MS Visual C++.


Empacotador de Runtime:
De forma a agravar a deteco e reduzir o tamanho do ficheiro lanado com o seguinte empacotador de runtime:
   • PE-Crypt.Antideb

Descrição enviada por Catalin Jora em quarta-feira, 3 de agosto de 2005
Descrição atualizada por Catalin Jora em terça-feira, 23 de agosto de 2005

Voltar . . . .
https:// Esta janela é criptografada para sua segurança.