BDS/Hupigon.E.201 - Backdoor Server

Ver também

Sumário

Descrição completa

Estatísticas

Vírus	BDS/Hupigon.E.201
Data em que surgiu:	22/06/2006
Tipo:	Servidor Backdoor
Incluído na lista "In The Wild"	Não
Nível de danos:	Baixo
Nível de distribuição:	Baixo
Nível de risco:	Médio
Ficheiro estático:	Sim
Tamanho:	348.550 Bytes
MD5 checksum:	641802385471e1a59e43531570b7d328
Versão VDF:	6.35.00.58
Versão IVDF:	6.35.00.66

Vulgarmente Meio de transmissão:
   • Não tem rotinas de propagação

Alias:
   • Mcafee: BackDoor-AWQ.b.dr
   • Kaspersky: Backdoor.Win32.Hupigon.bqp
   • TrendMicro: BKDR_HUPIGON.NP
   • F-Secure: Backdoor.Win32.Hupigon.bqp
   • Sophos: Troj/Hupigo-BLN
   • Bitdefender: Backdoor.Hupigon.E

Sistemas Operativos:
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efeitos secundários:
   • Descarrega um ficheiro
   • Descarrega ficheiros maliciosos
   • Guarda as teclas digitadas
   • Altera o registo do Windows
   • Informação de roubos
   • Possibilita acesso não autorizado ao computador

Ficheiros Autocopia-se para a seguinte localização:
• %WINDIR%\WMAPAD.exe

Apaga a cópia executada inicialmente.

São criados os seguintes ficheiros:

– %WINDIR%\uninstal.bat Além disso executa-se depois de gerado. Este ficheiro de processamento em lote é usado para apagar um ficheiro.
– %WINDIR%\WMAPAD.DLL Outras investigações apontam para que este ficheiro, também, seja malware. Detectado como: BDS/Hupigon.E.1

– %WINDIR%\WMAPADKey.Dll
– %WINDIR%\WMAPADKey.log O ficheiro contém informação das teclas pressionadas.

Tenta efectuar o download do ficheiro:

– A partir da seguinte localização:
• www.mycoue.com/gz/**********
Este ficheiro pode conter localizações de descarregamento adicionais e poderá servir como fonte para novas ameaças .

Registry (Registo do Windows) Adiciona a seguinte chave ao registo do Windows para executar o serviço ao iniciar o sistema:

– [HKLM\SYSTEM\ControlSet001\Services\WMAEditServer]
   • "Type"=dword:00000110
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000000
   • "ImagePath"="%WINDIR%\WMAPAD.exe"
   • "DisplayName"="WMAEditServer"
   • "ObjectName"="LocalSystem"
   • "Description"="ÏµÍ³Ä¬ÈÏÓ°Òô±à¼¹¤¾ß"

– [HKLM\SYSTEM\ControlSet001\Services\WMAEditServer\Security]
   • "Security"=%valores hex%

– [HKLM\SYSTEM\ControlSet001\Services\WMAEditServer\Enum]
   • "0"="Root\LEGACY_WMAEDITSERVER\0000"
   • "Count"=dword:00000001
   • "NextInstance"=dword:00000001

Altera as seguintes chaves de registo do Windows:

– [HKCU\Software\Microsoft\Internet Explorer\Main]
   Valor anterior:
   • "Check_Associations"=%definições do utilizador %
   Valor recente:
   • "Check_Associations"="yes"

– [HKCU\Software\Microsoft\Internet Connection Wizard]
   Valor anterior:
   • "Completed"=%definições do utilizador %
   Valor recente:
   • "Completed"=hex:01,00,00,00

Backdoor Contacta o servidor:
Seguinte:
• %URL do ficheiro descarregado%

Capacidades de controlo remoto:
• Inicia o keylog

Introdução de código viral noutros processos – Introduz o seguinte ficheiro num processo: WMAPAD.DLL

    Nome do processo:
   • iexplore.exe

– Introduz o seguinte ficheiro num processo: WMAPADKey.DLL

    Nome do processo:
   • %todos os processo em execução%

Tecnologia de Rootkit Oculta o seguinte:
– Os seus próprios ficheiros
– A sua própria chave de registo

Forma utilizada
• Esconde-se na API do Windows

Detalhes do ficheiro Linguagem de programação:
Ficheiro escrito em Delphi.

Empacotador de Runtime:
De forma a agravar a detecção e reduzir o tamanho do ficheiro é lançado com um empacotador de runtime.

Veja aqui uma breve descrição.

Descrição adicionada por Adriana Popa em Wed, 23 Aug 2006 15:29 (GMT+1)
Descrição adicionada por Adriana Popa em Thu, 24 Aug 2006 10:42 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back