Worm/SdBot.abf.4 - Worm

Ver também

Sumário

Descrição completa

Estatísticas

Vírus	Worm/SdBot.abf.4
Data em que surgiu:	12/09/2005
Tipo:	Worm
Incluído na lista "In The Wild"	Não
Nível de danos:	Baixo
Nível de distribuição:	Médio
Nível de risco:	Médio
Ficheiro estático:	Sim
Tamanho:	36.747 Bytes
MD5 checksum:	e07040eb929d55f766a27501a96524a1
Versão VDF:	6.32.0.7

Vulgarmente Meio de transmissão:
   • Rede local

Alias:
   • VirusBuster: Worm.SdBot.BGQ

Sistemas Operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efeitos secundários:
   • Descarrega um ficheiro malicioso
   • Altera o registo do Windows
   • Aproveita-se de vulnerabilidades do software
   • Informação de roubos
   • Possibilita acesso não autorizado ao computador

Ficheiros Autocopia-se para a seguinte localização:
• %SYSDIR%\T%cinco caracteres aleatórios%.exe

Registry (Registo do Windows) É adicionado o seguinte valor ao registo do Windows de forma a que o processo seja executado depois do computador ser reiniciado:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
• "Jxmnefer"="%SYSDIR%\T%cinco caracteres aleatórios%.exe"

Infecção da rede Para assegurar a sua propagação o malware tenta ligar-se a outras máquinas como descrito abaixo.

Envia cópias de si próprio às seguintes partilhas de rede:
   • ADMIN$\system32\
   • C$\winnt\system32\
   • IPC$\
   • C$\shared\
   • C$\
   • C$\Documents and Settings\All Users\Documents\
   • C$\windows\system32\

Usa a seguinte informação de login para ganhar acesso à máquina remota:

– A seguinte lista de nomes de utilizadores:
   • "administrator"
   • "administrateur"
   • "administrador"
   • "admin"

– A seguinte lista de palavras-chave:
   • "passwd"; "pass"; "pwd"; "pass1234"; "zxc123"; "qweasd"; "qazwsx";
      "qwe123"; "123qwe"; "123qaz"; "zxcvbnm"; "qweasdzxc"; "666"; "ctx";
      "nokia"; "lan"; "internet"; "freddy"; "glen"; "turnip"; "afro";
      "user1"; "student"; "student1"; "teacher"; "staff"; "intranet";
      "bill"; "fred"; "freddy"; "glen"; "billgates"; "billgate"; "fuckyou";
      "motdepass"; "zaq123"; "zaqxsw"; "123qwe123"; "201"; "202"; "203";
      "204"; "205"; "206"; "207"; "209"; "210"; "211"; "212"; "213"; "214";
      "216"; "217"; "218"; "219"; "220"; "221"; "222"

Exploit:
Faz uso do seguinte Exploit:
– MS04-011 (LSASS Vulnerability)

Criação de endereços IP:
Cria endereços IP aleatórios e tenta estabelecer uma ligação com eles.

IRC Para enviar informações do sistema e permitir controlo remoto liga-se ao servidor de IRC:

Servidor: get.**********.info
Porta: 5540
Canal #ven
Nickname: T%cinco caracteres aleatórios%

– Para além disso tem a capacidade de executar as seguintes acções:
    • Liga-se ao servidor de IRC
    • Desliga-se do servidor de IRC
    • Ligação ao canal IRC
    • Abandona canais IRC
    • Executa pesquisas na rede
    • Inicia a rotina de propagação

Roubos de informação Tenta roubar a seguinte informação:

– A seguinte CD Key:
• Battlefield 2

Detalhes do ficheiro Linguagem de programação:
Ficheiro escrito em MS Visual C++.
De forma a agravar a detecção e reduzir o tamanho do ficheiro é lançado com o seguinte empacotador de runtime:
• MEW 11

Veja aqui uma breve descrição.

Descrição adicionada por Catalin Jora em Mon, 12 Sep 2005 16:10 (GMT+1)
Descrição adicionada por Catalin Jora em Wed, 14 Sep 2005 12:38 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back