BDS/Hupigon.bsw - Backdoor Server

In alte limbi

Scurta descriere

Descriere completa

Statistici

Nume:	BDS/Hupigon.bsw
Descoperit pe data de:	14/07/2006
Tip:	Backdoor Server
ITW:	Nu
Numar infectii raportate:	Scazut
Potential de raspandire:	Scazut
Potential de distrugere:	Mediu
Fisier static:	Da
Marime:	511.488 Bytes
MD5:	39086acf09522704e1e4f924076fa9ca
Versiune VDF:	6.35.00.164
Versiune IVDF:	6.35.00.203

General Metoda de raspandire:
   • Nu are rutina proprie de raspandire

Alias:
   • Mcafee: BackDoor-AVW
   • Kaspersky: Backdoor.Win32.Hupigon.bsw
   • TrendMicro: BKDR_HUPIGON.VH
   • F-Secure: Backdoor.Win32.Hupigon.bsw
   • Bitdefender: Backdoor.Hupigon.XB

Sistem de operare:
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efecte secundare:
   • Inchide aplicatiile de securitate
   • Creeaza fisiere malware
   • Reduce setarile de securitate
   • Modificari in registri
   • Posibilitatea accesului neautorizat la computer

Imediat dupa lansarea in executie, pe ecran este afisat:

Fisiere Se copiaza in urmatoarele locatii:
   • %SYSDIR%\fservice.exe
   • %SYSDIR%\sservice.exe
   • %WINDIR%\services.exe

Sterge copia initiala a virusului.

Sunt create fisierele:

– %directorul de activare malware%\%fisier executat%.bat Fisierul este executat dupa ce a fost creat. Fisierul batch este folosit pentru stergerea unui fisier.
– %SYSDIR%\winkey.dll Analiza ulterioara a relevat ca si acest fisier este malware. Detectat ca: BDS/Probat.bs.DLL2

– %SYSDIR%\reginv.dll Analiza ulterioara a relevat ca si acest fisier este malware. Detectat ca: BDS/Probat.B.77.A

– %WINDIR%\ktd32.atm Acest fisier stocheaza datele introduse de utilizator la tastatura.

Registrii sistemului Urmatoarea cheie este adaugata in registri pentru a rula procesul la repornirea sistemului:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\
   Run]
   • "DirectX For Microsoft® Windows"="%SYSDIR%\fservice.exe"

Urmatoarele chei sunt adaugate in registrii sistemului:

– [HKCU\Software\Microsoft\Windows NT Script Host\Microsoft DxDiag\
   WinSettings]
   • "Bulas"="1"
   • "FW_KILL"="1"
   • "XP_FW_Disable"="1"
   • "XP_SYS_Recovery"="1"
   • "ICQ_UIN"=""
   • "ICQ_UIN2"=""
   • "Kurban_Ismi"="whbuhl"
   • "Mail"=""
   • "Online_List"="iuuq;..`ev`v/odughslr/bnl.bfh,cho.qsns`u/bfh"
   • "Port"="4001"
   • "Sifre"="032547"
   • "Hata"=""
   • "KSil"="1"
   • "LanNotifie"=""

– [HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\
   {5Y99AE78-58TT-11dW-BE53-Y67078979Y}]
   • "StubPath"="%SYSDIR%\sservice.exe"

Urmatoarele chei din registri sunt modificate:

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
   Vechea valoare:
   • "Shell"="Explorer.exe "
   Noua valoare:
   • "Shell"="Explorer.exe %SYSDIR%\fservice.exe"

Dezactiveaza Windows XP Firewall:
– [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess]
   Vechea valoare:
   • "Start"=%setarile utilizatorului%
   Noua valoare:
   • "Start"=dword:00000004

– [HKLM\SYSTEM\CurrentControlSet\Services\srservice]
   Vechea valoare:
   • "Start"=%setarile utilizatorului%
   Noua valoare:
   • "Start"=dword:00000004

– [HKLM\SYSTEM\ControlSet001\Services\srservice]
   Vechea valoare:
   • "Start"=%setarile utilizatorului%
   Noua valoare:
   • "Start"=dword:00000004

Terminarea proceselor Lista cu serviciile dezactivate:
   • wscsvc
   • sharedaccess
   • srservice
   • navapsvc

Backdoor Deschide porturile:

– services.exe pe portul TCP 5110 pentru a oferi functionalitate de backdoor.
– services.exe pe portul TCP 5112 pentru a functiona ca server FTP.
– services.exe pe portul TCP 51100 pentru a functiona ca server FTP.

Servere contactate:
Urmatorul:
   • http://adwaw.netfirms.com/cgi-bin/**********

Astfel se pot transmite informatii si se poate obtine control la distanta. Aceasta se face printr-o interogare HTTP GET intr-un script CGI.

Trimte informatii despre:
    • Parole retinute
    • Numele sistemului
    • Viteza procesorului
    • tipul procesorului
    • Adresa IP
    • Port deschis
    • Ora sistemului
    • adresele vizitate
    • Informatii despre sistemul de operare

Posibilitati de control la distanta:
    • Intrerupere conexiune
    • Schimbare director
    • Sterge fisierul
    • Listare director
    • editare registru sistem
    • executarea unui fisier
    • trimitere email-uri

Furt de informatii Incearca sa obtina urmatoarele informatii:

– Parolele din urmatoarele programe:
   • CuteFTP
   • FlashFXP
   • Trillian
   • Microsoft Outlook Express
   • Yahoo Messenger
   • MSNMessenger
   • NetMeeting

Injectarea codului malware in alte procese – Injecteaza fisierul urmator intr-un proces: winkey.dll

    Numele procesului:
   • %toate procesele active%

– Injecteaza fisierul urmator intr-un proces: reginv.dll

    Numele procesului:
   • %procese care au ferestre vizibile%

Detaliile fisierului Limbaj de programare:
Limbaj de programare folosit: C (compilat cu Microsoft Visual C++).

Compresia fisierului:
Pentru a ingreuna detectia si a reduce marimea fisierului, este folosit un program de compresie runtime.

Pentru o descriere scurta click aici.

Descriere introdusa de Adriana Popa la Wed, 06 Sep 2006 10:34 (GMT+1)
Descriere actualizata de Adriana Popa la Wed, 13 Sep 2006 15:01 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back