Worm/Nanspy.D - Worm

Ver também

Sumário

Descrição completa

Estatísticas

Vírus	Worm/Nanspy.D
Data em que surgiu:	07/10/2005
Tipo:	Worm
Incluído na lista "In The Wild"	Não
Nível de danos:	Baixo
Nível de distribuição:	Médio
Nível de risco:	De baixo a médio
Ficheiro estático:	Sim
Tamanho:	34.368 Bytes
MD5 checksum:	3BDA9B1A7B39CD7DDF978A7084A298A5
Versão VDF:	6.30.0.235

Vulgarmente Meio de transmissão:
   • Rede local

Sistemas Operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efeitos secundários:
   • Bloqueia o acesso a determinados Web sites
   • Descarrega um ficheiro malicioso
   • Altera o registo do Windows
   • Aproveita-se de vulnerabilidades do software

Ficheiros Autocopia-se para a seguinte localização:
   • %SYSDIR%\mmsvc32.exe

Tenta efectuar o download de alguns ficheiros:

– A partir da seguinte localização:
   • http://web.**********.com/bbot.exe
Encontra-se no disco rígido: %SYSDIR%\bbot.exe Além disso executa-se depois do download estar completo. Outras investigações apontam para que este ficheiro, também, seja malware. Detectado como: BDS/Nanspy.C

– A partir das seguintes localizações:
   • http://nnpy.**********.com/lipscr2.php
   • http://www.**********.com/sdata.txt
   • http://nnpyev.**********.com/wad/nnpy.txt
   • http://nnpytmp.**********.com/nnpyk2.php?action=knock

Registry (Registo do Windows) É adicionado o seguinte valor ao registo do Windows de forma a que o processo seja executado depois do computador ser reiniciado:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "Microsoft Network Services Controller"="%SYSDIR%\mmsvc32.exe"

Os valores da seguinte chave Registo são eliminados:

– [HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
   • Microsoft IIS
   • PayTime
   • lp3mr1sh

Infecção da rede Para assegurar a sua propagação o malware tenta ligar-se a outras máquinas como descrito abaixo.

Exploit:
Faz uso do seguinte Exploit:
– MS03-026 (Buffer Overrun in RPC Interface)

Criação de endereços IP:
Cria endereços IP aleatórios enquanto mantém os primeiros dois octetos do seu próprio endereço. Depois tenta estabelecer uma ligação com os endereços criados.

Processo de infecção:
Cria um script FTP na máquina infectada para permitir o download do malware da máquina atacante.
O ficheiro descarregado é armazenado na máquina a atacar: %raiz da unidade de sistema%\mmf32.exe

Hospedeiros O ficheiro hospedeiro sofre as seguintes alterações:

– Neste caso valores existentes serão alterados.

– O acesso aos seguintes domínios é redireccionado para outros destinos:
   • lloydstsb.co.uk; online.lloydstsb.co.uk; www.lloydstsb.co.uk;
      www.lloydstsb.com; personal.barclays.co.uk; barclays.co.uk;
      ibank.barclays.co.uk; www.barclays.co.uk; www.nwolb.com; nwolb.com;
      hsbc.co.uk; www.hsbc.co.uk; abbey.com; www.abbey.com; www.abbey.co.uk;
      abbey.co.uk; cahoot.com; www.cahoot.com; www.cahoot.co.uk;
      cahoot.co.uk; www.co-operativebank.co.uk; co-operativebank.co.uk;
      www.co-operativebank.com; co-operativebank.com;
      welcome2.co-operativebankonline.co.uk;
      welcome6.co-operativebankonline.co.uk;
      welcome8.co-operativebankonline.co.uk;
      welcome10.co-operativebankonline.co.uk; www.smile.co.uk; smile.co.uk;
      www.cajamar.es; cajamar.es; www.cajamar.com; www.unicaja.es;
      unicaja.es; www.unicaja.com; unicaja.com; www.caixagalicia.es;
      caixagalicia.es; www.caixagalicia.com; caixagalicia.com;
      activa.caixagalicia.es; www.caixapenedes.es; caixapenedes.es;
      www.caixapenedes.com; caixapenedes.com; bancae.caixapenedes.com;
      www.caixasabadell.es; caixasabadell.es; www.caixasabadell.net;
      caixasabadell.net; www.cajamadrid.es; cajamadrid.es;
      www.cajamadrid.com; cajamadrid.com; oi.cajamadrid.es; www.ccm.es;
      ccm.es; www.haspa.de; haspa.de; ssl2.haspa.de; www.dresdner-bank.de;
      dresdner-bank.de; www.dresdner-privat.de; postbank.de;
      www.postbank.de; banking.postbank.de; www.sparda-b.de; sparda-b.de;
      www.bankingonline.de; www.raiffeisenbank-erding.de;
      raiffeisenbank-erding.de; www.vr-networld-ebanking.de;
      vr-networld-ebanking.de; www.bnhof.de; bnhof.de; www.deutsche-bank.de;
      deutsche-bank.de; meine.deutsche-bank.de; www.citibank.de;
      citibank.de; cipehb13.cdg.citibank.de; www.dkb.de; dkb.de;
      www.sparkasse-regensburg.de; sparkasse-regensburg.de;
      www.berliner-bank.de; berliner-bank.de; www.berliner-sparkasse.de;
      berliner-sparkasse.de

O ficheiro hospedeiro (alterado) terá a seguinte aparência:

Terminar o processo A seguinte lista de processos são terminados:
   • ftp.exe
   • tftp.exe
   • nh.exe
   • nethost.exe
   • syshost.exe
   • ppc.exe
   • paytime.exe
   • lp3mr1sh.exe
   • tibs.exe

Detalhes do ficheiro Linguagem de programação:
Ficheiro escrito em Delphi.

Empacotador de Runtime:
De forma a agravar a detecção e reduzir o tamanho do ficheiro é lançado com o seguinte empacotador de runtime:
• UPX

Veja aqui uma breve descrição.

Descrição adicionada por Andrei Gherman em Mon, 10 Oct 2005 07:25 (GMT+1)
Descrição adicionada por Andrei Gherman em Wed, 12 Oct 2005 16:34 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back