Worm/SdBot.86236 - Worm

In alte limbi

Scurta descriere

Descriere completa

Statistici

Nume:	Worm/SdBot.86236
Descoperit pe data de:	05/09/2005
Tip:	Vierme
ITW:	Nu
Numar infectii raportate:	Scazut
Potential de raspandire:	Mediu
Potential de distrugere:	Mediu
Fisier static:	Da
Marime:	86.236 Bytes
MD5:	47ebaf7935e8986394abc64a295221a8
Versiune VDF:	6.31.1.210

General Metoda de raspandire:
   • Reteaua locala

Alias:
   • Symantec: W32.Spybot.Worm
   • TrendMicro: BKDR_SDBOT.MY

Sistem de operare:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efecte secundare:
   • Modificari in registri
   • Posibilitatea accesului neautorizat la computer

Fisiere Se copiaza in urmatoarea locatie:
• %SYSDIR%\WinV.exe

Sterge copia initiala a virusului.

Registrii sistemului Urmatoarele chei sunt adaugate in registri pentru a rula procesul la repornirea sistemului:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "Windows Update 64"="WinV.exe"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]
   • Windows Update 64"="WinV.exe"

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • Windows Update 64"="WinV.exe"

– [HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce]
   • Windows Update 64"="WinV.exe"

Urmatoarele chei sunt adaugate in registri pentru a incarca serviciul la repornirea sistemului:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
   • Windows Update 64"="WinV.exe"

Reţea Pentru a-si asigura raspandirea, programul malware incearca sa contacteze alte sisteme, asa cum este descris in continuare:

Exploit:
Foloseste urmatoarea vulnerabilitate:
– MS04-007 (ASN.1 Vulnerability)
– MS04-011 (LSASS Vulnerability)

Procesul de infectare:
Se creeaza un script FTP in sistemul afectat, pentru a descarcaun malware pe alt computer controlat la distanta.

IRC Pentru a trimite informatii si pentru a fi controlat se conecteaza la serverele IRC:

Server: **********.afraid.org
Port: 6667
Canal: #pwn
Nick: GoeRoe-%sir de 7 caractere aleatoare%
Parola: pwn

Server: **********.dutchirc.nl
Port: 6667
Canal: #pwn
Nick: GoeRoe-%sir de 7 caractere aleatoare%
Parola: pwn

– Acest malware poate obtine si trimite infomatii cum ar fi:
    • Adresele de email colectate
    • Viteza procesorului
    • Spatiu liber pe disc
    • Memorie nealocata
    • Timpul de cand malware-ul a fost lansat in executie
    • Informatii despre procesele sistemului
    • Cantitatea de memorie

– In plus, poate efectua urmatoarele operatii:
    • Lanseaza atacuri DDoS ICMP
    • Lanseaza atacuri DDoS SYN
    • Lanseaza atacuri DDoS TCP
    • Lanseaza atacuri DDoS UDP
    • dezactivarea partajarii de resurse in retea
    • descarcare fisier
    • editare registru sistem
    • executarea unui fisier
    • intrare pe canal IRC
    • terminare proces
    • executare atac DDoS
    • Scaneaza reteaua
    • redirectionare porturi
    • Inregistreaza un serviciu
    • repornirea sistemului
    • trimitere email-uri
    • oprierea sistemului
    • Se actualizeaza singur
    • Face upload la un fisier
    • Vizitarea unui website

Furt de informatii Incearca sa obtina urmatoarele informatii:
– Windows Product ID

– Urmatoarele CD-keys:
   • Unreal Tournament 2004; Unreal Tournament 2003; Soldier Of Fortune 2;
      Soldiers Of Anarchy; Shogun: Total War: Warlord Edition; Ravenshield;
      Neverwinter Nights; Need For Speed: Underground; Need For Speed: Hot
      Pursuit 2; NHL 2003; NHL 2002; Nascar Racing 2003; Nascar Racing 2002;
      Medal of Honor: Allied Assault: Spearhead; Medal of Honor: Allied
      Assault: Breakthrough; Medal of Honor: Allied Assault; James Bond 007:
      Nightfire; Industry Giant 2; IGI2: Covert Strike; Hidden and Dangerous
      2; Half-Life; Gunman Chronicles; Global Operations; Freedom Force;
      FIFA 2003; FIFA 2002; Counter-Strike; Command and Conquer: Tiberian
      Sun; Command and Conquer: Red Alert2; Command and Conquer: Generals:
      Zero Hour; Command and Conquer: Generals; Black and White; Battlefield
      1942: Vietnam; Battlefield 1942: The Road To Rome; Battlefield 1942:
      Secret Weapons Of WWII; Battlefield 1942

– Parolele din urmatoarele programe:
   • Yahoo Messenger
   • AIM
   • MSN Messenger

– Este pornita o rutina de logare dupa ce viziteaza un site care contine unul din urmatoarele siruri de caractere in URL:
   • paypal.com
   • paypal

– Face captura la:
    • Informatii de logare

Pentru o descriere scurta click aici.

Descriere introdusa de Razvan Olteanu la Mon, 12 Sep 2005 11:05 (GMT+1)
Descriere actualizata de Razvan Olteanu la Wed, 14 Sep 2005 10:36 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back