Worm/Rbot.1258496 - Worm

Ver também

Sumário

Descrição completa

Estatísticas

Vírus	Worm/Rbot.1258496
Data em que surgiu:	09/10/2006
Tipo:	Worm
Incluído na lista "In The Wild"	Não
Nível de danos:	Baixo
Nível de distribuição:	Médio
Nível de risco:	Médio
Ficheiro estático:	Sim
Tamanho:	1.258.496 Bytes
MD5 checksum:	6fd7be146c5449dfdb9a0B97e6775523
Versão VDF:	6.36.00.81
Versão IVDF:	6.36.00.97

Vulgarmente Meio de transmissão:
   • Rede local

Alias:
   • Kaspersky: Backdoor.Win32.Rbot.bll
   • TrendMicro: WORM_RBOT.ATW
   • Sophos: W32/Rbot-FPF
   • VirusBuster: virus Worm.RBot.IFS
   • Bitdefender: Backdoor.Rbot.FHQ

Sistemas Operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP

Efeitos secundários:
   • Descarrega um ficheiro malicioso
   • Guarda as teclas digitadas
   • Altera o registo do Windows
   • Aproveita-se de vulnerabilidades do software
   • Informação de roubos
   • Possibilita acesso não autorizado ao computador

Ficheiros Autocopia-se para a seguinte localização:
• %WINDIR%\messengersystem.exe

É criado o seguinte ficheiro:

– Ficheiro não malicioso:
• %SYSDIR%\drivers\oreans32.sys

Registry (Registo do Windows) É adicionado o seguinte valor ao registo do Windows de forma a que o processo seja executado depois do computador ser reiniciado:

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • "Messenger91"="messengersystem.exe"

Adiciona a seguinte chave ao registo do Windows para executar o serviço ao iniciar o sistema:

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
   • "Messenger91"="messengersystem.exe"

É adicionada a seguinte chave de registo:

– HKCU\Software\Microsoft\OLE
   • "Messenger91"="messengersystem.exe"

Infecção da rede Para assegurar a sua propagação o malware tenta ligar-se a outras máquinas como descrito abaixo.

Envia cópias de si próprio às seguintes partilhas de rede:
   • IPC$
   • %c$
   • ADMIN$

Exploit:
Faz uso do seguinte Exploit:
– NetDevil backdoor (port 903)

Processo de infecção:
Cria um script FTP na máquina infectada para permitir o download do malware da máquina atacante.

Execução remota:
–Tenta programar uma execução remota do malware, na máquina recentemente infectada. Então usa a função de NetScheduleJobAdd.

IRC Para enviar informações do sistema e permitir controlo remoto liga-se ao servidor de IRC:

Servidor: irc.Brokenirc**********
Porta: 6667
Canal #mad-bots1
Nickname: USA[[EN]%Versão do Windows%]%oito caracteres aleatórios%
Palavra-chave 5t34lth

– Este malware tem a capacidade de recolher e enviar a seguinte informação:
    • Velocidade do CPU
    • Utilizador Actual
    • Detalhes acerca dos drivers
    • Espaço disponível no disco
    • Memória disponível
    • Tempo de vida do malware
    • Informações sobre a rede
    • Informação sobre processos em execução
    • Capacidade da memória
    • Directório de sistema
    • Directório do Windows
    • Informação sobre o sistema operativo Windows

– Para além disso tem a capacidade de executar as seguintes acções:
    • Liga-se ao servidor de IRC
    • Lança DDoS ICMP floods
    • Lança DDoS SYN floods
    • Lança DDoS UDP floods
    • Desactiva partilhas de rede
    • Download de ficheiros
    • Activa partilhas de rede
    • Executa o ficheiro
    • Abandona canais IRC
    • Abre ligações remotas
    • Executa pesquisas na rede
    • Redireccionamento de porta
    • Reinicia
    • Actualiza-se a ele próprio
    • Visita um Web site

Roubos de informação – É iniciada uma rotina de logging depois de digitadar um dos seguintes textos:
   • paypal
   • e-gold
   • PayPal
   • StormPay

– Captura:
    • Teclar

Informações diversas Anti debugging
Confirma se um dos ficheiros seguintes está presente:
• \\.\SICE
• \\.\NTICE

Se concluir com êxito visualiza o seguinte e termina imediatamente:

Se concluir com êxito, termina imediatamente:
Se tiver êxito não cria qualquer ficheiro.

Detalhes do ficheiro Empacotador de Runtime:
De forma a agravar a detecção e reduzir o tamanho do ficheiro é lançado com um empacotador de runtime.

Veja aqui uma breve descrição.

Descrição adicionada por Bogdan Iliuta em Fri, 03 Nov 2006 16:10 (GMT+1)
Descrição adicionada por Bogdan Iliuta em Mon, 20 Nov 2006 16:59 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back