BDS/Haxdoor.LF - Backdoor Server

Ver também

Sumário

Descrição completa

Estatísticas

Vírus	BDS/Haxdoor.LF
Data em que surgiu:	18/10/2006
Tipo:	Servidor Backdoor
Incluído na lista "In The Wild"	Não
Nível de danos:	Baixo
Nível de distribuição:	Baixo
Nível de risco:	Médio
Ficheiro estático:	Sim
Tamanho:	55.436 Bytes
MD5 checksum:	06d5da22f8e834d2e19c9b086a6763a8
Versão VDF:	6.36.00.90
Versão IVDF:	6.36.00.106

Vulgarmente Meio de transmissão:
   • Não tem rotinas de propagação

Alias:
   • Mcafee: BackDoor-BAC!55436
   • Kaspersky: Backdoor.Win32.Haxdoor.lf
   • TrendMicro: PAK_Generic.001
   • F-Secure: W32/Goldun.NC
   • Sophos: Troj/Haxdoor-DG
   • Eset: Win32/Haxdoor

Sistemas Operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efeitos secundários:
   • Descarrega ficheiros maliciosos
   • Altera o registo do Windows
   • Possibilita acesso não autorizado ao computador

Ficheiros São criados os seguintes ficheiros:

– %SYSDIR%\kgctini.dat
– %SYSDIR%\ydsvgd.sys Além disso executa-se depois de gerado. Outras investigações apontam para que este ficheiro, também, seja malware. Detectado como: BDS/Haxdoor.JU.1

– %SYSDIR%\qo.sys Além disso executa-se depois de gerado. Outras investigações apontam para que este ficheiro, também, seja malware. Detectado como: BDS/Haxdoor.JU.1

– %SYSDIR%\ycsvgd.sys Além disso executa-se depois de gerado. Outras investigações apontam para que este ficheiro, também, seja malware. Detectado como: BDS/Haxdoor.JU.1

– %SYSDIR%\qo.dll Além disso executa-se depois de gerado. Outras investigações apontam para que este ficheiro, também, seja malware. Detectado como: TR/PSW.PdPi.CT.1.D

– %SYSDIR%\ydsvgd.dll Além disso executa-se depois de gerado. Outras investigações apontam para que este ficheiro, também, seja malware. Detectado como: TR/PSW.PdPi.CT.1.D

– C:\system32\lps.dat
– %SYSDIR%\qo.dll

Registry (Registo do Windows) São adicionados os seguintes valores ao registo do Windows de forma a que os serviços sejam carregados depois do computador ser reiniciado:

– [HKLM\SYSTEM\CurrentControlSet\Services\ycsvgd]
   • "Type"=dword:00000001
   • "Start"=dword:00000001
   • "ErrorControl"=dword:00000000
   • "ImagePath"="\??\%SYSDIR%\ycsvgd.sys"
   • "DisplayName"="PTA Adapter"

– [HKLM\SYSTEM\CurrentControlSet\Services\ycsvgd\Security]
   • "Security"=%valores hex%

– [HKLM\SYSTEM\CurrentControlSet\Services\ycsvgd\Enum]
   • "0"="Root\\LEGACY_YCSVGD\\0000"
   • "Count"=dword:00000001
   • "NextInstance"=dword:00000001

– [HKLM\SYSTEM\CurrentControlSet\Services\ydsvgd]
   • "Type"=dword:00000001
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000000
   • "ImagePath"="\??\%SYSDIR%\ycsvgc.sys"
   • "DisplayName"="PTA Adapter32"

– [HKLM\SYSTEM\CurrentControlSet\Services\ydsvgd\Security]
   • "Security"=%valores hex%

– [HKLM\SYSTEM\CurrentControlSet\Services\ydsvgd\Enum]
   • "Count"=dword:00000000
   • "NextInstance"=dword:00000000
   • "INITSTARTFAILED"=dword:00000001

Os valores das seguintes chaves registo do windows são eliminados:

– [HKLM\SYSTEM\CurrentControlSet\Services\VFILT]
   • "Start"

– [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess]
   • "start"

Cria a seguinte entrada de forma a fazer um bypass à firewall do Windows XP:

– [HKLM\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\
   FirewallPolicy\StandardProfile\AuthorizedApplications\List]
   • "%WINDIR%\Explorer.EXE"="%WINDIR%\Explorer.EXE:*:Enabled:explorer"

São adicionadas as seguintes chaves ao registo:

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\
   ydsvgd]
   • "CID"="[%uma série de caracteres aleatórios%]"
   • "DllName"="ydsvgd.dll"
   • "Startup"="XWD33Sifix"
   • "Impersonate"=dword:00000001
   • "Asynchronous"=dword:00000001
   • "MaxWait"=dword:00000001

– [HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\ycsvgd.sys]
   • @="Driver"

– [HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\ycsvgd.sys]
   • @="Driver"

– [HKLM\SYSTEM\CurrentControlSet\Services\VFILT]
– [HKCU\Software\Microsoft\Internet Account Manager\Accounts]
– [HKCU\Identities\{%CLSID%}\Software\Microsoft\
   Internet Account Manager\Accounts]
– [HKCU\Software\RIT\The Bat!]

O seguinte valor do registo é alterado:

– [HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\
   Memory Management]
   Valor recente:
   • "EnforceWriteProtection"=dword:00000000

Backdoor São abertas as seguintes portas:

– Explorer.EXE numa porta TCP 16661 Por forma a fornecer capacidades backdoor.
– Explorer.EXE numa porta TCP aleatória de forma a fornecer um servidor proxy Socks 5.
– Explorer.EXE numa porta TCP aleatória Por forma a fornecer um servidor HTTP.

Contacta o servidor:
Seguintes:
   • http://www.grci.info/**********
   • http://www.fotravel.com/**********

Como resultado pode enviar informação poderiam e dar capacidade de controlo remoto. Isto é feito pelos métodos HTTP GET e POOS usando scripts PHP.

Envia informação sobre:
    • Situação actual de malware
    • Tempo de vida do malware
    • Porta aberta

Introdução de código viral noutros processos – Introduz o seguinte ficheiro num processo: %SYSDIR%\ydsvgd.dll

    Todos os processos que se seguem:
   • Explorer.exe
   •

Tecnologia de Rootkit É uma tecnologia malware-específica. O malware esconde-se de utilitários de sistema, aplicações de segurança e, do utilizador.

Oculta o seguinte:
– Os seus próprios ficheiros

– O seguinte processo:
   • Explorer.exe

Forma utilizada
    • Esconde-se na API do Windows

Bloqueia as seguintes funções API:
   • NtCreateProcess/ZwCreateProcess
   • NtCreateProcessEx/ZwCreateProcessEx
   • NtOpenProcess/ZwOpenProcess
   • NtOpenThread/ZwOpenThread/iswxdigit
   • NtQueryDirectoryFile/ZwQueryDirectoryFile
   • NtQuerySystemInformation/RtlGetNativeSystemInformation/ZwQuerySystemInformation

Detalhes do ficheiro Empacotador de Runtime:
De forma a agravar a detecção e reduzir o tamanho do ficheiro é lançado com o seguinte empacotador de runtime:
• FSG

Veja aqui uma breve descrição.

Descrição adicionada por Monica Ghitun em Wed, 18 Oct 2006 11:45 (GMT+1)
Descrição adicionada por Adriana Popa em Mon, 20 Nov 2006 14:17 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back