BDS/Hupigon.bsw - Backdoor Server

Ver também

Sumário

Descrição completa

Estatísticas

Vírus	BDS/Hupigon.bsw
Data em que surgiu:	14/07/2006
Tipo:	Servidor Backdoor
Incluído na lista "In The Wild"	Não
Nível de danos:	Baixo
Nível de distribuição:	Baixo
Nível de risco:	Médio
Ficheiro estático:	Sim
Tamanho:	511.488 Bytes
MD5 checksum:	39086acf09522704e1e4f924076fa9ca
Versão VDF:	6.35.00.164
Versão IVDF:	6.35.00.203

Vulgarmente Meio de transmissão:
   • Não tem rotinas de propagação

Alias:
   • Mcafee: BackDoor-AVW
   • Kaspersky: Backdoor.Win32.Hupigon.bsw
   • TrendMicro: BKDR_HUPIGON.VH
   • F-Secure: Backdoor.Win32.Hupigon.bsw
   • Bitdefender: Backdoor.Hupigon.XB

Sistemas Operativos:
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efeitos secundários:
   • Desactiva aplicações de segurança
   • Descarrega ficheiros maliciosos
   • Baixa as definições de segurança
   • Altera o registo do Windows
   • Possibilita acesso não autorizado ao computador

Depois de executado é visualizada a seguinte informação:

Ficheiros Autocopia-se para as seguintes localizações
   • %SYSDIR%\fservice.exe
   • %SYSDIR%\sservice.exe
   • %WINDIR%\services.exe

Apaga a cópia executada inicialmente.

São criados os seguintes ficheiros:

– %directório de execução do malware%\%ficheiro executado%.bat Além disso executa-se depois de gerado. Este ficheiro de processamento em lote é usado para apagar um ficheiro.
– %SYSDIR%\winkey.dll Outras investigações apontam para que este ficheiro, também, seja malware. Detectado como: BDS/Probat.bs.DLL2

– %SYSDIR%\reginv.dll Outras investigações apontam para que este ficheiro, também, seja malware. Detectado como: BDS/Probat.B.77.A

– %WINDIR%\ktd32.atm O ficheiro contém informação das teclas pressionadas.

Registry (Registo do Windows) É adicionado o seguinte valor ao registo do Windows de forma a que o processo seja executado depois do computador ser reiniciado:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\
   Run]
   • "DirectX For Microsoft® Windows"="%SYSDIR%\fservice.exe"

São adicionadas as seguintes chaves ao registo:

– [HKCU\Software\Microsoft\Windows NT Script Host\Microsoft DxDiag\
   WinSettings]
   • "Bulas"="1"
   • "FW_KILL"="1"
   • "XP_FW_Disable"="1"
   • "XP_SYS_Recovery"="1"
   • "ICQ_UIN"=""
   • "ICQ_UIN2"=""
   • "Kurban_Ismi"="whbuhl"
   • "Mail"=""
   • "Online_List"="iuuq;..`ev`v/odughslr/bnl.bfh,cho.qsns`u/bfh"
   • "Port"="4001"
   • "Sifre"="032547"
   • "Hata"=""
   • "KSil"="1"
   • "LanNotifie"=""

– [HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\
   {5Y99AE78-58TT-11dW-BE53-Y67078979Y}]
   • "StubPath"="%SYSDIR%\sservice.exe"

Altera as seguintes chaves de registo do Windows:

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
   Valor anterior:
   • "Shell"="Explorer.exe "
   Valor recente:
   • "Shell"="Explorer.exe %SYSDIR%\fservice.exe"

Desactiva a Firewall do Windows
– [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess]
   Valor anterior:
   • "Start"=%definições do utilizador %
   Valor recente:
   • "Start"=dword:00000004

– [HKLM\SYSTEM\CurrentControlSet\Services\srservice]
   Valor anterior:
   • "Start"=%definições do utilizador %
   Valor recente:
   • "Start"=dword:00000004

– [HKLM\SYSTEM\ControlSet001\Services\srservice]
   Valor anterior:
   • "Start"=%definições do utilizador %
   Valor recente:
   • "Start"=dword:00000004

Terminar o processo Lista de serviços desactivados:
   • wscsvc
   • sharedaccess
   • srservice
   • navapsvc

Backdoor São abertas as seguintes portas:

– services.exe numa porta TCP 5110 Por forma a fornecer capacidades backdoor.
– services.exe numa porta TCP 5112 Por forma a fornecer um servidor FTP.
– services.exe numa porta TCP 51100 Por forma a fornecer um servidor FTP.

Contacta o servidor:
Seguinte:
   • http://adwaw.netfirms.com/cgi-bin/**********

Como resultado pode enviar informação poderiam e dar capacidade de controlo remoto. Isto é feito usando o método HTTP GET através de scripts CGI.

Envia informação sobre:
    • Palavras-chave armazenadas
    • Nome do computador
    • Velocidade do CPU
    • Tipo de CPU
    • Endereço IP
    • Porta aberta
    • Hora de Sistema
    • o URL visitado
    • Informação sobre o sistema operativo Windows

Capacidades de controlo remoto:
    • Termina a ligação
    • Muda de directório
    • Apaga o ficheiro
    • Lista de directórios
    • Editar o registo do Windows
    • Executa o ficheiro
    • Envia emails

Roubos de informação Tenta roubar a seguinte informação:

– As palavras-chave dos seguintes programas:
   • CuteFTP
   • FlashFXP
   • Trillian
   • Microsoft Outlook Express
   • Yahoo Messenger
   • MSNMessenger
   • NetMeeting

Introdução de código viral noutros processos – Introduz o seguinte ficheiro num processo: winkey.dll

    Nome do processo:
   • %todos os processo em execução%

– Introduz o seguinte ficheiro num processo: reginv.dll

    Nome do processo:
   •

Detalhes do ficheiro Linguagem de programação:
Ficheiro escrito em MS Visual C++.

Empacotador de Runtime:
De forma a agravar a detecção e reduzir o tamanho do ficheiro é lançado com um empacotador de runtime.

Veja aqui uma breve descrição.

Descrição adicionada por Adriana Popa em Wed, 06 Sep 2006 10:34 (GMT+1)
Descrição adicionada por Adriana Popa em Wed, 13 Sep 2006 15:01 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back