BDS/Agent.nin - Backdoor Server

In alte limbi

Scurta descriere

Descriere completa

Statistici

Nume:	BDS/Agent.nin
Descoperit pe data de:	13/11/2007
Tip:	Backdoor Server
ITW:	Nu
Numar infectii raportate:	Scazut
Potential de raspandire:	Scazut
Potential de distrugere:	Mediu
Fisier static:	Da
Marime:	53248 Bytes
MD5:	0a1c9f1cfacb21ebe0ca2e5a4e017f2b
Versiune VDF:	7.00.00.208
Versiune IVDF:	7.00.00.216

General Sistem de operare:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efecte secundare:
   • Inchide aplicatiile de securitate
   • Reduce setarile de securitate
   • Modificari in registri
   • Sustrage informatii
   • Posibilitatea accesului neautorizat la computer

Fisiere Scrie pe disc o copie a lui alegand numele fisierului dintr-o lista:
– Catre: %SYSDIR\ Folosind unul din urmatoarele nume:
   • winhelp%combinatie de caractere aleatoare%%numar%.exe
   • wincheck%combinatie de caractere aleatoare%%numar%.exe
   • system%combinatie de caractere aleatoare%%numar%.exe
   • lsas%combinatie de caractere aleatoare%%numar%.exe
   • svctoc%combinatie de caractere aleatoare%%numar%.exe

Sterge copia initiala a virusului.

Registrii sistemului Urmatoarea cheie este adaugata in registri, in mod repetat, pentru a porni procesul dupa reboot.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "Winupdates"="%SYSDIR%\%fisier executat%.exe"

Creeaza urmatoarea valoare, pentru a trece de Windows XP firewall:

– [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\
   FirewallPolicy\StandardProfile\AuthorizedApplications\List]
   • "%SYSDIR%\%fisier executat%.exe"="%SYSDIR%\%fisier
      executat%.exe:*:Enabled:\%fisier executat%"

Se adauga in registrii sistemului:

– [HKCU\Software\Microsoft\Windows Updates\RM]

Urmatoarele chei din registri sunt modificate:

– [HKCU\Software\Microsoft\Windows Updates]
   Noua valoare:
   • "Name"="%fisier executat%"
     "CurrentVersion"=dword:00000023
     "Last Update"="%data curenta% %ora curenta%"
     "Next Update"="%data curenta% %ora curenta%"
     "Id"="%numar hexazecimal%"

– [HKLM\SOFTWARE\Microsoft\Security Center]
   Noua valoare:
   • "FirewallOverride"=dword:00000001
     "AntiVirusOverride"=dword:00000001

Backdoor Deschide portul

– %SYSDIR%\%fisier executat%.exe port TCP aleator pentru a oferi functionalitate de backdoor.

Servere contactate:
Urmatoarele:
   • http://87.249.38.126/asg234/**********
   • http://87.249.38.126/asg234/update/**********

Astfel se pot transmite informatii si se poate obtine control la distanta. Aceasta se face printr-o interogare HTTP GET intr-un script PHP.

Trimte informatii despre:
    • Statusul actual al malware-ului
    • Port deschis
    • Informatii despre sistemul de operare

Posibilitati de control la distanta:
    • descarcare fisier

Alte informatii Cauta o conexiune Internet, contactand urmatorul website:
• http://www.windowsupdate.microsoft.com

Mutex:
Creeaza urmatorul mutex:
• 68E1D888-19B3-4F40-8941-95EC38E4AF69

Detaliile fisierului Compresia fisierului:
Pentru a ingreuna detectia si a reduce marimea fisierului, este folosit un program de compresie runtime.

Pentru o descriere scurta click aici.

Descriere introdusa de Monica Ghitun la Thu, 15 Nov 2007 16:48 (GMT+1)
Descriere actualizata de Andrei Gherman la Wed, 28 Nov 2007 13:10 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back