TR/IRCBot.36864.6 - Trojan

In alte limbi

Scurta descriere

Descriere completa

Statistici

Nume:	TR/IRCBot.36864.6
Descoperit pe data de:	27/10/2006
Tip:	Troian
ITW:	Nu
Numar infectii raportate:	Scazut
Potential de raspandire:	Scazut
Potential de distrugere:	Mediu
Fisier static:	Da
Marime:	36.864 Bytes
MD5:	e9e2e113fdf03154593a6881c275f7b9
Versiune VDF:	6.36.01.136
Versiune IVDF:	6.36.01.144

General Metoda de raspandire:
   • Nu are rutina proprie de raspandire

Alias:
   • Mcafee: BackDoor-CMQ
   • Kaspersky: Trojan-Proxy.Win32.Horst.pg
   • TrendMicro: TROJ_HORST.HI
   • F-Secure: Trojan-Proxy.Win32.Horst.pg
   • Eset: Win32/Medbot.BW

Initial identificat ca:
   • Worm/IRCBot.36864.6

Sistem de operare:
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efecte secundare:
   • Descarca un fisier
   • Modificari in registri
   • Posibilitatea accesului neautorizat la computer

Fisiere Se copiaza in urmatoarele locatii:
   • %SYSDIR%\smss.exe
   • %directorul de activare malware%\smssb.exe

Incearca sa descarce cateva fisiere:

– Adresa este urmatoarea:
   • http://up.medbod.com/up/**********
La momentul realizarii descrierii, acest fisier nu era disponibil pentru o analiza ulterioara.

– Adresa este urmatoarea:
   • http://up.medbod.com/up/**********
Fisierul este stocat pe hard disc la: %TEMPDIR%\upd%sir de 3 caractere aleatoare%.exe In plus, acest fisier este executat dupa ce este descarcat de pe Internet. La momentul realizarii descrierii, acest fisier nu era disponibil pentru o analiza ulterioara.

Registrii sistemului Urmatoarea cheie este adaugata in registri pentru a rula procesul la repornirea sistemului:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • ".nvsvc"="%SYSDIR%\smss.exe /w"

Valoarea urmatoarei chei este stearsa din registri:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "KAVPersonal50"

Urmatoarea cheie din registri este modificata:

– [HKLM\SYSTEM\CurrentControlSet\Services\wuauserv]
   Noua valoare:
   • "Start"=dword:00000004

IRC Pentru a trimite informatii si pentru a fi controlat se conecteaza la serverele IRC:

Server: news.zabaren.**********
Port: 80
Nick: jega-1_%sir de 4 caractere aleatoare%_%sir de 4 caractere aleatoare%

Server: in.lorenim.**********
Port: 80
Nick: jega-1_%sir de 4 caractere aleatoare%_%sir de 4 caractere aleatoare%

Server: sys.medarun.**********
Port: 80
Nick: jega-1_%sir de 4 caractere aleatoare%_%sir de 4 caractere aleatoare%

– In plus, poate efectua urmatoarele operatii:
• descarcare fisier
• executarea unui fisier

Terminarea proceselor Lista cu serviciile dezactivate:
   • wuauserv
   • nava
   • psvc
   • Symantec Core LC
   • SAVScan
   • kavsvc
   • wscsvc

Backdoor Servere contactate:
Urmatorul:
• dl.medbod.**********:1900(UDP)

Astfel se pot transmite informatii.

Injectarea codului malware in alte procese – Se injecteaza intr-un proces.

    Numele procesului:
   • svchost.exe

   Daca operatiunea se termina cu succes, malware-ul se opreste din executie, iar componenta injectata ramane activa.

Alte informatii Mutex:
Creeaza urmatorul mutex:
• 3645FBCD-ECD2-23D0-BAC4-00DE453DEF6B

Detaliile fisierului Limbaj de programare:
Limbaj de programare folosit: C (compilat cu Microsoft Visual C++).

Compresia fisierului:
Pentru a ingreuna detectia si a reduce marimea fisierului, este folosit urmatorul program de arhivare:
• UPX

Pentru o descriere scurta click aici.

Descriere introdusa de Adriana Popa la Tue, 05 Dec 2006 13:30 (GMT+1)
Descriere actualizata de Adriana Popa la Thu, 07 Dec 2006 11:54 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back