Worm/SdBot.137728.3 - Worm

это описание доступно в

Резюме

Подробное описание

Статистика

Имя:	Worm/SdBot.137728.3
Обнаружен:	23/08/2005
Вид:	Червь
В реальных условиях:	Нет
Отмеченные факты заражения:	Низкий
Потенциал распространения:	Средний
Потенциал повреждений:	Средний
Файл статистики:	Да
Размер файла:	137,728 байт.
Контрольная сумма MD5:	ed93fa4c20115d1e5265ff410907d63b
Версия VDF:	6.31.1.150

Общее Методы распространения:
   • Локальная сеть

Псевдонимы (аliases):
   • Symantec: W32.Spybot.Worm
   • Mcafee: W32/Sdbot.worm.gen.br
   • Kaspersky: Backdoor.Win32.SdBot.adr
   • TrendMicro: WORM_RBOT.CCJ
   • Sophos: W32/Rbot-AKY
   • VirusBuster: Worm.SdBot.BDV
   • Bitdefender: Backdoor.Rbot.AKY

Операционные системы:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Последствия:
   • Загружает вродоносный файл
   • Изменение реестра
   • Использует уязвимость ПО
   • Позволяет несанкционированно подключиться к компьютеру

Файлы Создается собственная копия:
   • %SYSDIR%\updater.pif

Выполненная копия программы удаляется.

Удаляется следующий файл:
   • %SYSDIR%\updater.pif

Создаются следующие файлы:

– Файлы предназначены для временного использования и могут быть удалены.
   • %TEMPDIR%\%Случайно%.exe
   • %temporary internet files%\new.gif
   • %temporary internet files%\news.gif

– %TEMPDIR%\del.bat После полного завершения процесса создания он запускается на выполнение. Данный batch-файл используется для удаления файла.

Попытка загрузки следующего файла:

– Следующий URL:
   • http://200.79.160.**********/new.gif
Сохраняется локально в: %SYSDIR%\update32.pif Данный файл запускается на выполнение после его полной загрузки. Дальнейшие исследования выявили, что данный файл является вредоносной программой.

– Следующий URL:
   • http://200.79.160.**********/news.gif
Сохраняется локально в: %sysdir%\updating.pif Данный файл запускается на выполнение после его полной загрузки. Дальнейшие исследования выявили, что данный файл является вредоносной программой.

Реестр Для повторного запуска процесса после перезагрузки системы к каждому ключу реестра добавляется по одному значению.

– [HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
   • "Windows Update Service"="update32.pif"
   • "Windows Update Service"="updatings.pif"

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "Windows Update Service"="update32.pif"
   • "Windows Update Service"="updatings.pif"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
   • "Windows Update Service"="update32.pif"
   • "Windows Update Service"="updatings.pif"

– [HKCU\Software\Microsoft\Windows\CurrentVersion\RunServices]
   • "Windows Update Service"="update32.pif"
   • "Windows Update Service"="updatings.pif"

– [HKLM\SOFTWARE\Microsoft\Ole]
   • "Windows Update Service"="update32.pif"
   • "Windows Update Service"="updatings.pif"

– [HKCU\Software\Microsoft\OLE]
   • "Windows Update Service"="update32.pif"
   • "Windows Update Service"="updatings.pif"

– [HKLM\SYSTEM\CurrentControlSet\Control\Lsa]
   • "Windows Update Service"="update32.pif"
   • "Windows Update Service"="updatings.pif"

– [HKCU\SYSTEM\CurrentControlSet\Control\Lsa]
   • "Windows Update Service"="update32.pif"
   • "Windows Update Service"="updatings.pif"

Удаляются значения следующего ключа реестра:

– [HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
   • MS Windows Security Updater

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • MS Windows Security Updater

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
   • MS Windows Security Updater

– [HKCU\Software\Microsoft\Windows\CurrentVersion\RunServices]
   • MS Windows Security Updater

– [HKLM\SOFTWARE\Microsoft\Ole]
   • MS Windows Security Updater

– [HKCU\Software\Microsoft\OLE]
   • MS Windows Security Updater

– [HKLM\SYSTEM\CurrentControlSet\Control\Lsa]
   • MS Windows Security Updater

– [HKCU\SYSTEM\CurrentControlSet\Control\Lsa]
   • MS Windows Security Updater

– [HKLM\SOFTWARE\Microsoft\Ole]
   • "Windows Update Service"="update32.pif"

Сетевое инфицирование Вредоносная программа пытается установить соединение с другим компьютером для целей дальнейшего распространения. Подробности приводятся далее.

Эксплойт:
Используются следующие бреши в безопасности:
– MS03-026 (Переполнение буфера RPC Interface)
– MS03-049 (Переполнение буфера Workstation Service)
– MS04-007 (Уязвимость ASN.1)
– MS05-039 (уязвимость в Plug and Play)

Генарация IP адресов:
Создаются случайные IP адреса и производится попытка установить соединение с этим адресом.

Процесс инфицирования:
На выбранном компьютере создается FTP скрипт. Он загружает потенциально опасные программы на удаленный компьютер.

IRC Для передачи информации о системе и обеспечения удаленного управления устанавливаются соединения со следующими IRC серверами:

Сервер: **********.update.updates32.biz
Порт: 4654
Пароль сервера: gringle
Канал: #z0wb#
Имя: %случайная комбинация букв из восьми букв%
Пароль: shabby123

Сервер: **********.update.security32.biz
Порт: 4564
Пароль сервера: gringle
Канал: #z0wb#
Имя: %случайная комбинация букв из восьми букв%
Пароль: shabby123

Сервер: **********.update.updates32.biz
Порт: 65529
Пароль сервера: gringle
Канал: #z0wb#
Имя: %случайная комбинация букв из восьми букв%
Пароль: shabby123

Сервер: **********.update.security32.biz
Порт: 65528
Пароль сервера: gringle
Канал: #z0wb#
Имя: %случайная комбинация букв из восьми букв%
Пароль: shabby123

– Данная вредоносная программа способна собирать и передавать следующую информацию:
    • Информация о сети
    • Локальная активность пользователя

– Вредоносная программа обладает способностью выполнять следующие действия:
    • установить соедиениение с IRC сервером
    • разорвать соединение с IRC сервером
    • Загрузить файл
    • Запустить файл
    • Войти в чат-комнату IRC
    • Покинуть чат-комнату IRC
    • Открытие удаленного интерфейса
    • Запуск процедуры распространения
    • Обновляется самостоятельно

Разное Мьютекс:
Создается мьютекс:
   • zewb

Создается один из следующих мьютексов:
   • updaterr
   • updatings

Данные файла Язык программирования:
Программа была написана на MS Visual C++.
Для осложнения определения и сокращения размера файла он был запакован следующим паковщиком:

Краткое описание см. здесь.

Описание добавлено: Iulia Diaconescu Wed, 24 Aug 2005 16:14 (GMT+1)
Описание обновлено: Iulia Diaconescu Mon, 05 Sep 2005 08:32 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back