Vírus Worm/Rbot.140288.34 Data em que surgiu: 01/07/2007 Tipo: Worm Incluído na lista "In The Wild" Sim Nível de danos: Baixo Nível de distribuição: De médio a elevado Nível de risco: Médio Ficheiro estático: Sim Tamanho: 139.264 Bytes MD5 checksum: 4c9b1febe7adfb29f389c8a35e9374e5 Versão VDF: 6.38.01.203 Versão IVDF: 6.38.01.214 - sexta-feira, 1 de junho de 2007
Vulgarmente Meio de transmissão: • Rede local • Unidade de rede Alias: • Kaspersky: Backdoor.Win32.Rbot.bng • VirusBuster: Trojan-PSW.LdPinch.39 • Bitdefender: Backdoor.RBot.XHZ Sistemas Operativos: • Windows 95 • Windows 98 • Windows 98 SE • Windows NT • Windows ME • Windows 2000 • Windows XP • Windows 2003 Efeitos secundários: • Baixa as definições de segurança • Guarda as teclas digitadas • Altera o registo do Windows • Aproveita-se de vulnerabilidades do software • Informação de roubos • Possibilita acesso não autorizado ao computador Ficheiros Autocopia-se para a seguinte localização: • %SYSDIR% \msq23.exe Apaga a cópia executada inicialmente. Registry (Registo do Windows) São adicionados os seguintes valores ao registo de forma a que os processos sejam executados depois do computador ser reiniciado: – [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] • Internet Security Service="msq23.exe" – [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] • Internet Security Service="msq23.exe" – [HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices] • Internet Security Service="msq23.exe" Infecção da rede Para assegurar a sua propagação o malware tenta ligar-se a outras máquinas como descrito abaixo. Envia cópias de si próprio às seguintes partilhas de rede: • IPC$ • C$ • C$\windows\system32 • c$\winnt\system32 • ADMIN$\system32\ • ADMIN$ Usa a seguinte informação de login para ganhar acesso à máquina remota: – A seguinte lista de nomes de utilizadores: • Abdulrazak; Ackerman; Adams; Addison; Adelstein; Adibe; Adorno; Ahlers; Alavi; Alcorn; Aleks; Allison; Alongi; Altavilla; Altenberger; Altenhofen; Amaral; Amatangelo; Ameer; Amsden; Anand; Andel; Andrelus; Andron; Anfinrud; Ansley; Anthony; Antos; Arbia; Arduini; Arellano; Aristotle; Arjas; Atkins; Augustus; Aurelius; Axelrod; Axworthy; Ayiemba; Aykroyd; Ayling; Azima; Bachmuth; Backus; Baglivo; Bagnold; Bailar; Bakanowsky; Baleja; Ballatori; Ballew; Baltz; Banta; Barabesi; Barajas; Baranczak; Baranowska; Barberi; Barbetti; Barneson; Barnett; Barriola; Barry; Bartholomew; Bartolome; Bartoo; Basavappa; Bashevis; Batchelder; Baumiller; Bayles; Beacon; Beckman; Beder; Bedford; Behenna; Belanger; Belaoussof; Belfer; Belin-Collart; Bellavance; Bellhouse; Bellini; Belloc; Benedict-Dye; Bergson; Berke-Jenkins; Bernardo; Bernassola; Bernston; Berrizbeitia; Betti; Beynart; Biagioli; Bickel; Binion; Bisema; Bisho; Blackbourn; Blackwell; Blagg; Blakemore; Blanke; Bliss; Blizard; Bloch; Bloembergen; Bloemhof; Bloxham; Blyth; Bolger; Bolick; Bollinger; Bologna; Boner; Bonham; Boniface; Bontempo; Bookbinder; Boone; Boorstin; Borack; Borden; Bossi; Bothman; Botosh; Boudin; Boudrot; Bourneuf; Bowers; Boxer; Boyajian; Boyes; Boyland; Boyne; Bracalente; Bradac; Bradach; Brecht; Breed; Brenan; Brennan; Brewer; Brewer; Bridgeman; Bridges; Brinton; Britz; Broca; Brook; Brzycki; Buchan; Budding; Bullard; Bunton; Burden; Burdzy; Burke; Burridge; Busetta; Byatt; Byerly; Calnan; Cammelli; Cammilleri; Canley; Capanni; Caperton; Capocaccia; Capodilupo; Cappuccio; Capursi; Caratozzolo; Carayannopoulos; Carlin; Carlos; Carlyle; Carmichael; Caroti; Carper; Cartmill; Cascio; Caspar; Castelda; Cavanagh; Cavell; Ceniceros; Cerioli; Chapman; Charles; Cheang; Cherry; Chervinsky; Chiassino; Chien; Childress; Childs; Chinipardaz; Chinman; Christenson; Christian; Christiano; Christie; Christopher; Chupasko; Church; Ciampaglia; Cicero; Cifarelli; Claffey; Clancy; Clark; Clement; Clifton; Coblenz; Coito; Coldren; Colella; Collard; Collis; Compton; Compton; Comstock; Concino; Condodina; Connors; Corey; Cornish; Cosmides; Counter; Coutaux; Crawford; Crocker; Croshaw; Croxen; Croxton; Currier; Cutler; Cyders; daSilva; Daldalian; D'Ambra; Danieli; Dante; Dapice; D'arcangelo; Dasgupta; Daskalu; David; Dawkins; DeGennaro; DeLaPena; del'Enclos; deRousse; Debroff; Defeciani; Delattre; Deleon-Rendon; Delger; Dell'acqua; Deming; Dempster; Demusz; Denault; Denham; Denison; Desombre; Deutsch; D'fini; Dicks; Diefenbach; Difabio; Difronzo; Dilworth; Dionysius; Dirksen; Dockery; Doherty; Donahue; Donner; Doonan; Dowsland; Drinker; D'souza; Duffin; Durrett; Dussault; Dwyer; Eardley; Ebeling; Eckel; Edley; Edner; Edward; Eickenhorst; Eliasson; Elmendorf; Elmerick; Elvis; Encinas; Enyeart; Eppling; Erbach; Erdman; Erdos; Espinoza; Estes; Etter; Euripides; Everett; Fabbris; Fagan; Faioes; Falco-Acosta; Falorsi; Faris; Farone; Farren; Fasso'; Fates; Feigenbaum; Fejzo; Feldman; Fernald; Fernandes; Ferrante; Ferriell; Feuer; Field; Finkelstein; Finnegan; Fiorina; Fitzmaurice; Flier; Flores; Folks; Forester; Fortes; Fortier; Fossey; Fossi; Francisco; Franklin-Kenea; Franz; Frazier-Davis; Freid; Freundlich; Fried; Friedland; Frisken; Frowiss; Fryberger; Fujii-Abe; Fuller; Furth; Fusaro; Gabrielli; Gaggiotti; Galeotti; Galwey; Gambini; Garfield; Garman; Garonna; Geller; Gemberling; Georgi; Gerrett; Ghorai; Gibbens; Gibson; Gilbert; Gillispie; Gleason; Glegg; Glendon; Goldfarb; Goncalves; Goodearl; Goody; Gozzi; Gravell; Greenberg; Greenfeld; Griffiths; Grigoletto; Grummell; Gruner; Gruppe; Guenthart; Hackman; Hackshaw; Haley; Halkias; Hallowell; Halpert; Hambarzumjan; Hamer; Hammerness; Hanssen; Harding; Hargraves; Harlow; Harrigan; Hartman; Hartmann; Hartnett; Harwell; Haviaras; Hawkes; Hayes; Haynes; Hazlewood; Heermans; Heiland; Hellman; Hellmiss; Helprin; Hemphill; Henery; Henrichs; Hernandez; Herrera; Hester; Heubert; Heyeck; Himmelfarb; Hirst; Hitchcock; Hoang; Hoffer; Hoffman; Hokanson; Hokoda; Holmes; Holoien; Holter; Holway; Holzman; Hooker; Hopkins; Horsley; Hoshida; Hostage; Hottle; Howard; Huidekoper; Hungerford; Huntington; Hurtubise; Hutchings; Iaquinta; Ichikawa; Igarashi; Inamura; Inniss; Isaac; Isaievych; Isbill; Isserman; Jacenko; Jackson; Jagers; Jagger; Jagoe; Jamil; Janjigian; Jarnagin; Jarrell; Jeffers; Jellis; Jenkins; Jespersen; Jewett; Johannesson; Johannsen; Johns; Jolly; Jorgensen; Jucks; Juliano; Julious; Kabbash; Kaboolian; Kafadar; Kalbfleisch; Kaligian; Kalil; Kalinowski; Kalman; Kamel; Kangis; Karpouzes; Kassower; Kasten; Kawachi; Keenan; Keepper; Keith; Kelker; Kelsey; Kempton; Kemsley; Kendall; Kerry; Khong; Kimmel; Kimmett; Kimura; Kindall; Kinsley; Kippenberger; Kirscht; Kittridge; Kleckner; Kleiman; Kleinfelder; Klemperer; Kling; Klinkenborg; Klint; Knuff; Kobrick; Koivumaki; Kommer; Koniaris; Konrad; Korzybski; Kotter; Kovaks; Kraemer; Krailo; Krasney; Kraus; Kroemer; Krysiak; Kuenzli; Kumar; Kusman; Kuwabara; Labunka; Lafler; Laing; Lallemant; Landes; Lankes; Lantieri; Lanzit; Laserna; Lashley; Lawless; Lecar; Lecce; Leclercq; Leite; Lenard; l'Enclos; Lesser; Lessi; Liakos; Lidano; Light; Lightfoot; Linares; Linda; Linder; Linehan; Linzee; Lippmann; Lipponen; Little; Litvak; Livernash; Livolsi; Lizardo; Locatelli; Longworth; Loveman; Lowenstein; Lubin; Lucas; Luciano; Luczkow; Luecke; Lunetta; Luoma; Lussier; Lutcavage; Luzader; Maccormac; Macdonald; Maceachern; Macintyre; Mackenney; MacMillan; Madigan; Maggio; Mahony; Maier; Maine-Hershey; Maisano; Malatesta; Maller; Malova; Manalis; Mandel; Manganiello; Mantovan; March; Marchbanks; Marcus; Margalit; Margetts; Marques; Martinez; Martochio; Marton; Marubini; Matalka; Matarazzo; Matsukata; Mattson; Mauzy; Mazzali; Mazziotta; Mcbride; Mccaffery; Mccall; Mcclearn; Mcdowell; Mcelroy; McFadden; Mcghee; Mcgoldrick; McIlroy; Mcintosh; Mckenna; Mclane; Mclaren; Mcnealy; Mcnulty; Meccariello; Memisoglu; Menzies; Merikoski; Merlani; Merminod; Merseth; Metelka; Metropolis; Meurer; Michelman; Middle; Mieher; Mills; Minichiello; Gonzalez; Mitropoulos; Mittal; Mocroft; Modestino; Moeller; Moiamedi; Monque; Montilio; MooreDeCh.; Morani; Moreton; Morrison; Morrow; Mortimer; Mosher; Mosler; Mostafavi; Motooka; Mudarri; Muello; Mugnai; Mulkern; Mulroy; Mumford; Mussachio; Naddeo; Napolitano; Nardi; Nardone; Naviaux; Nayduch; Nelson; Nenna; Nesci; Neuman; Newfeld; Newlin; Nickerson; Nickoloff; Nisenson; Nitabach; Notman; Nuzum; Ocougne; Ogata; O'hagan; Oldford; Olsen; Olson; Olszewski; O'malley; O'meara; Orfield; Ospina; Ostrowski; Ottaviani; Otten; Ouchida; PaesDealmeida; Paine; Palayoor; Palepu; Pallara; Palmitesta; Panadero; Panizzon; Pantilla; Paoletti; Parmeggiani; Parris; Partridge; Pascucci; Patefield; Patrick; Pattullo; Pavetti; Pavlon; Pawloski; Paynter; Peabody; Pearlberg; Pederson; Peishel; Penny; Pereira; Perko; Perlak; Perlman; Perna; Perone; Perrimon; Peters; Petruzello; Pettibone; Pettit; Pfister; Pilbeam; Pinot; Plancon; Plant; Plasket; Plous; Pocobene; Poincaire; Pointer; Poirier; Polak; Polanyi; Politis; Poolman; Powers; Presper; Preucel; Prevost; Pritchard; Pritz; Proietti; Prothrow-Stith; Puccia; Pynchon; Quaday; Quetin; Rabkin; Radeke; Rajagopalan; Raney; Rangan; Rankin; Rapple; Rayport; Redden-Tyler; Reedquist; Cunningham; Reinold; Remak; Renick; Repetto; Resnik; Richmond; Rielly; Rindos; Rineer; Rivera; Robinson; Rocha; Roesler; Rogers; Ronen; Royal; Ruderman; Ruescher; Sabatello; Sadler; Safire; Samson; Sanchez-Ramirez; Sanna; Sapers; Sarin; Sartore; Satin; Satta; Satterthwaite; Sawtell; Sayied; Scarponi; Scepan; Scharf; Scharlemann; Scheiner; Schiano; Schifini; Schilling; Schmitt; Schossberger; Schuman; Schutte; Schuyler; Schwan; Schwickrath; Scovel; Scudder; Seaton; Seeber; Segal; Sekler; Selvage; Sennett; Seterdahl; Sexton; Seyfert; Shaikh; Shakis; Shankland; Shanley; Shatrov; Shavelson; Sheats; Shepherd; Sheppard; Shepstone; Shesko; Shibata; Shimon; Siesto; Sigalot; Sigini; Signa; Silverman; Silvetti; Sinsabaugh; Sirilli; Sites; Skane; Skerry; Skoda; Sloan; Slowe; Smilow; Sniffen; Snodgrass; Socolow; Solon; Somers; Sommariva; Sorabella; Sottak; Soukup; Soule; Soultanian; Spanier; Sparrow; Spaulding; Speizer; Spence; Sperber; Spicer; Spiegelhalter; Spiliotis; Spinrad; StMartin; Stalvey; Stang; Stassinopolus; States; Statlender; Stefani; Steiner; Stephanian; Stepniewska; Stewart-Oaten; Stiepock; Stillwell; Stock; Stockton; Stockwell; Stolzenberg; Stonich; Storer; Stott; Strange; Strauch; Streiff; Stringer; Sullivan; Sumner; Surdam; Sweeting; Sweetser; Swindle; Tagiuri; Talaugon; Tambiah; Tandler; Tanowitz; Tatar; Taveras; Tcherepnin; Teague; Temes; Temmer; Tenney; Terracini; Thavaneswaran; Theodos; Thibault; Thisted; Thomsen; Throop; Tierney; Timmons; Tofallis; Tollestrup; Tolls; Tolman; Tomford; Toomer; Topulos; Torresi; Torske; Towler; Traebert; Trenga; Trewin; Tringali; Troiani; Truss; Tsiatis; Tsomides; Tsukurov; Tudge; Tukan; Turano; Turek; Tuttle; Twells; Tzamarias; Ullman; Untermeyer; Upsdell; Urban; Urdang-Brown; Usdan; Uzuner; Vacca; Waite; Valberg; Valencia; Wales; Wallenberg; Walter; vanAllen; VanZwet; Vandenberg; Vanheeckeren; Warshafsky; Wasowska; Vasquez; Waugh; Weighart; Weingarten; Weinhaus; Weissbourd; Weissman; Velasquez; Welles; Welsh; Wengret; Venne; Verghese; Wescott; Wetzel; Whately; Whilton; White; Whitla; Whittaker; Viana; Viano; Wiedersheim; Wiener; Viens; Vignola; Wilder; Wilhelm; Wilkin; Wilkinson; Villarreal; Willstatter; Wilson; Vitali; Viviani; Voigt; VonHoffman; Wooden; Woods; Woods-Powell; Vorhaus; Votey; Yacono; Yamane; Yankee; Yarchuk; Yates; Ybarra; Yedidia; Yesson; Yetiv; Yoffe; Youk-See; Zachary; Zahedi; Zangwill; Zegans; Zerbini; Zoldak; Zucconi; Zwiers; Zytowski – A seguinte lista de palavras-chave: • SMARTMIR; farooq; maxxguy; BOBMARLEY; emilya; KRIZHA; Car1nna; flexster; talika; marcy; heval; bunty; janno; rimpy; nastysha; Luisa; troller; manee; kermit; puregold; CoreDump; CAMEL; reshma; Kencing; THR45H3R5; cansuuuu; kaan38dent; erkan27; hexaaa; berk19; OBeNiBiSeVSe; irmal; misssunday; Tolga34; JERICHO; melekk; trend3; M-E-R-V-E; tekir; venedik34; sevmekmi; SUDENUR; haticem; ERNESTO; aslii; PIRAMIT; samyeli21; blackpearl; pelincik; ahmet; turkyy; ank32m; Izmir39m; albina; AYLA-; Donjuanm; bogac; alpay34m; CoNGuERoR; DenizliM; Berk19m; devran; keyifliSERT; murat34-m; hakan3; IMIRZALI--; RAMTHA; Emre--; elmaazyok; Esmerkiz; kebikec; FLoRD; MAHINUR; SaDIkaEllesme; aykut1; Kashmira; SeViSeLi; SUGARBOY-; uzgun36; kumul; ADALIM; umut-; ANK-32-M; DJSPACE; Ankar; FeNeRLee; hayran; angelgirl; Achilles; TEGMEN; kotan; sevda; alcatras; birsen; yabanc; devre; erkan; Adem28; maxsilla; M41IST; AdAMM33; firtina; Ata29; KORAY; akden; izmirlm; NE-HABER; passenger; tropikal; cool30m; cem39; RERPJJ; TEOMAN; DALLAS43M; prometheus; ADAMM; cumhur29; WANTEDLOVE; tambe; luvu-f; wiked; happy; trimy; truck; muckc; Sleeping; sex4free Exploit: Faz uso dos seguintes Exploits: – MS03-026 (Buffer Overrun in RPC Interface) – MS03-039 (Buffer Overrun in RPCSS Service) – MS04-007 (ASN.1 Vulnerability) – MS04-011 (LSASS Vulnerability) – MS06-040 (Vulnerability in Server Service) Criação de endereços IP: Cria endereços IP aleatórios e tenta estabelecer uma ligação com eles. Processo de infecção: Cria um script TFTP ou FTP na máquina a atacada para permitir o download do malware da máquina atacante. Execução remota: –Tenta programar uma execução remota do malware, na máquina recentemente infectada. Então usa a função de NetScheduleJobAdd. IRC Para enviar informações do sistema e permitir controlo remoto liga-se ao servidor de IRC: Servidor: asn.ma.********** Porta: 3921 Canal #!rx!# Nickname: %uma série de caracteres aleatórios% Palavra-chave xrx – Este malware tem a capacidade de recolher e enviar a seguinte informação: • Captura do ecrã • Imagens capturas a partir de webcam • Velocidade do CPU • Utilizador Actual • Espaço disponível no disco • Memória disponível • Tempo de vida do malware • Informações sobre a rede • Informação sobre processos em execução • Capacidade da memória • Directório de sistema • Nome de utilizador • Actividade do utilizador • Directório do Windows • Informação sobre o sistema operativo Windows – Para além disso tem a capacidade de executar as seguintes acções: • Liga-se ao servidor de IRC • Lança DDoS ICMP floods • Lança DDoS SYN floods • Lança DDoS TCP floods • Lança DDoS UDP floods • Desactiva o DCOM • Desactiva partilhas de rede • Desliga-se do servidor de IRC • Download de ficheiros • Activa o DCOM • Activa partilhas de rede • Executa o ficheiro • Ligação ao canal IRC • Termina processos • Abandona canais IRC • Abre ligações remotas • Ataque de Negação de Serviços (ataque DoS) • Executa pesquisas na rede • Redireccionamento de porta • Registar um serviço • Reinicia • Envia emails • Inicia o keylog • Inicia a rotina de propagação • Termina o malware • Termina processos • Actualiza-se a ele próprio • Upload de ficheiros • Visita um Web site Terminar o processo A seguinte lista de processos são terminados: • regedit.exe; msconfig.exe; netstat.exe; msblast.exe; zapro.exe; navw32.exe; navapw32.exe; zonealarm.exe; wincfg32.exetaskmon.exe; PandaAVEngine.exe; sysinfo.exe; mscvb32.exe; MSBLAST.exe; teekids.exe; Penis32.exe; bbeagle.exe; SysMonXP.exe; winupd.exe; winsys.exe; ssate.exe; rate.exe; d3dupdate.exe; irun4.exe; i11r54n4.exe Roubos de informação Tenta roubar a seguinte informação: – Windows Product ID – As seguintes CD Keys: • Battlefield 1942; Battlefield 1942 (Road To Rome); Battlefield 1942 (Secret Weapons of WWII); Battlefield Vietnam; Black and White; Command & Conquer Generals; Command and Conquer: Generals (Zero Hour); Command and Conquer: Red Alert 2; Command and Conquer: Tiberian Sun; Counter-Strike (Retail); Chrome; FIFA 2002; FIFA 2003; FIFA 2006; Freedom Force; Global Operations; Gunman Chronicles; Half-Life; Hidden & Dangerous 2; IGI 2: Covert Strike; Industry Giant 2; James Bond 007: Nightfire; Legends of Might and Magic; Medal of Honor: Allied Assault; Medal of Honor: Allied Assault: Breakthrough; Medal of Honor: Allied Assault: Spearhead; Nascar Racing 2002; Nascar Racing 2003; Need For Speed Hot Pursuit 2; Need For Speed: Underground; Neverwinter Nights; Neverwinter Nights (Hordes of the Underdark); Neverwinter Nights (Shadows of Undrentide); NHL 2003; NHL 2002; NOX; Rainbow Six III RavenShield; Shogun: Total War: Warlord Edition; Soldier of Fortune II - Double Helix; Soldiers Of Anarchy; The Gladiators; Unreal Tournament 2003; Unreal Tournament 2004 – Usa um sniffer de rede para pesquisar os seguintes textos: • :.login; :,login; :!login; :@login; :$login; :%login; :^login; :*login; :-login; :+login; :/login; :\login; :=login; :?login; :'login; :`login; :~login; : login; :.auth; :,auth; :!auth; :@auth; :$auth; :%auth; :^auth; :&auth; :*auth; :-auth; :+auth; :/auth; :\auth; :=auth; :?auth; :'auth; :`auth; :~auth; : auth; :.id; :,id; :!id; :@id; :$id; :%id; :^id; :&id; :*id; :-id; :+id; :/id; :\id; :=id; :?id; :'id; :`id; :~id; : id; :.hashi; :!hashi; :$hashi; :%hashi; :.secur; :!secur; :.l; :!l; :$l; :%l; :.x; :!x; :$x; :%x; :.syn; :!syn; :$syn; :%syn; :!ident; :.ident – É iniciada uma rotina de logging depois de visitar um Web site: • paypal.com Informações diversas Mutex: Cria o seguinte Mutex: • by close Texto: Além disso tem o seguinte texto: • This mod of rxBot is dedicated to Pia Gerhardt (nameless efnet/ircnet), the Beautiful Operatress from Heaven (or Bitch Operatress from Hell?) who I love so much. Detalhes do ficheiro Linguagem de programação: O programa de malware está escrito em MS Visual C++. Empacotador de Runtime: De forma a agravar a detecção e reduzir o tamanho do ficheiro é lançado com o seguinte empacotador de runtime: • Aspack 2.12
Descrição enviada por Ernest Szocs em
quinta-feira, 25 de outubro de 2007 Descrição atualizada por Ernest Szocs em
sexta-feira, 26 de outubro de 2007
Voltar
.
.
.
.