Worm/SdBot.43008.14 - Worm

это описание доступно в

Резюме

Подробное описание

Статистика

Имя:	Worm/SdBot.43008.14
Обнаружен:	18/08/2005
Вид:	Червь
В реальных условиях:	Нет
Отмеченные факты заражения:	Низкий
Потенциал распространения:	Средний
Потенциал повреждений:	Средний
Файл статистики:	Да
Размер файла:	43.008 байт.
Контрольная сумма MD5:	6F1A92EC31D5264B0B4755B1D491EB69
Версия VDF:	6.31.1.120

Общее Метод распространения:
   • Локальная сеть

Псевдонимы (аliases):
   • Mcafee: New
   • VirusBuster: Worm.SdBot.BCT

Операционные системы:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Последствия:
   • Изменение реестра
   • Похищает информацию
   • Позволяет несанкционированно подключиться к компьютеру

Файлы Создается собственная копия:
• %SYSDIR%\I%случайная комбинация из пяти букв%.exe

Реестр Добавляется ключ реестра для повторного запуска процесса после перезагрузки системы.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
• Optin"="%SYSDIR%\I%случайная комбинация из пяти букв%.exe"

Сетевое инфицирование Вредоносная программа пытается установить соединение с другим компьютером для целей дальнейшего распространения. Подробности приводятся далее.

Копия объекта помещается в следующие сетевые ресурсы общего доступа:
   • C$\windows\system32\
   • C$\Documents and Settings\All Users\Documents\
   • C$\shared\
   • IPC$\
   • C$\winnt\system32\
   • ADMIN$\system32\

Для обеспечения доступа к удаленному компьютеру используется следующая регистрационная информация:

– Список имен пользователей и паролей:
   • 123qwe123; zaqxsw; zaq123; motdepass; fuckyou; billgate; billgates;
      fred; bill; intranet; staff; teacher; student1; student; user1; afro;
      turnip; glen; freddy; internet; lan; nokia; ctx; 666; qweasdzxc;
      zxcvbnm; 123qaz; 123qwe; qwe123; qazwsx; qweasd; zxc123; pass1234;
      pwd; pass; passwd; admin; administrador; administrateur; administrator

IRC Для передачи системной информации и установки удаленного соединения происходит подключение к IRC серверу:

Сервер: jhon.omygood.net
Порт: 1125
Канал: #ti
Имя: I%случайная комбинация из пяти букв%

– Вредоносная программа обладает способностью выполнять следующие действия:
• Загрузить файл
• Запустить файл

Кража Попытка кражи следующей информации:

– CD ключ:
• Battlefield

Данные файла Язык программирования:
Программа была написана на MS Visual C++.

Паковщик:
Для осложнения определения и сокращения размера файла он был запакован следующим паковщиком:

Краткое описание см. здесь.

Описание добавлено: Andrei Gherman Thu, 18 Aug 2005 15:58 (GMT+1)
Описание обновлено: Andrei Gherman Wed, 24 Aug 2005 13:48 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back