Worm/SdBot.acq - Worm

это описание доступно в

Резюме

Подробное описание

Статистика

Имя:	Worm/SdBot.acq
Обнаружен:	11/08/2005
Вид:	Червь
В реальных условиях:	Нет
Отмеченные факты заражения:	Низкий
Потенциал распространения:	От низкого до среднего
Потенциал повреждений:	Низкий
Файл статистики:	Да
Размер файла:	38.400 байт.
Контрольная сумма MD5:	a8f7dd1bac56daf489c7973583a1b057
Версия VDF:	6.31.1.68

Общее Метод распространения:
   • Локальная сеть

Псевдонимы (аliases):
   • Symantec: W32.IRCBot
   • Mcafee: W32/Sdbot.worm.gen.bj
   • Kaspersky: Backdoor.Win32.IRCBot.ev
   • TrendMicro: WORM_SDBOT.BYF
   • F-Secure: W32/Ranky.MD
   • VirusBuster: Worm.SdBot.BCI
   • Bitdefender: Trojan.Proxy.Ranky.EB

Операционные системы:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Последствия:
   • Загружает файлы
   • Загружает вродоносный файл
   • Изменение реестра
   • Похищает информацию
   • Позволяет несанкционированно подключиться к компьютеру

Файлы Создается файл:

– Файл предназначен для временного использования и может быть удален.
• r.bat

Реестр Добавляются ключи реестра для повторного запуска процессов после перезагрузки системы.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "CalcScience"="cscientist.exe"

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "CalcScience"="cscientist.exe"

Для загрузки службы после перезагрузки системы добавляются следующие ключи реестра.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
   • "CalcScience"="cscientist.exe"

Сетевое инфицирование Вредоносная программа пытается установить соединение с другим компьютером для целей дальнейшего распространения. Подробности приводятся далее.

Копия объекта помещается в следующие сетевые ресурсы общего доступа:
   • C$\windows\system32\
   • C$\Documents and Settings\All Users\Documents\
   • C\
   • C$\shared\
   • IPC$\
   • C$\winnt\system32\
   • ADMIN$\system32\

Для обеспечения доступа к удаленному компьютеру используется следующая регистрационная информация:

– Следующий список имен пользователей:
   • admin
   • administrador
   • administrateur
   • administrator

– Список паролей:
   • 123qwe123; zaqxsw; zaq123; motdepass; fuckyou; billgate; billgates;
      intranet; staff; teacher; student1; student; user1; turnip; freddy;
      internet; nokia; qweasdzxc; zxcvbnm; 123qaz; 123qwe; qwe123; qazwsx;
      qweasd; zxc123; pass1234; passwd

IRC Для передачи системной информации и установки удаленного соединения происходит подключение к IRC серверу:

Сервер: **********.malresearch.org.net
Порт: 1025
Канал: #sol
Имя: I%случайная комбинация из пяти букв%

– Вредоносная программа обладает способностью выполнять следующие действия:
    • разорвать соединение с IRC сервером
    • Загрузить файл
    • Запустить файл
    • Войти в чат-комнату IRC
    • Остановить процесс
    • Покинуть чат-комнату IRC
    • Проверка сети
    • Запуск процедуры распространения
    • Остановить процесс
    • Обновляется самостоятельно

Кража Попытка кражи следующей информации:

– CD ключ:
• Battlefield 2

Разное Мьютекс:
Создается мьютекс:
• gilettexe

Данные файла Язык программирования:
Программа была написана на MS Visual C++.

Паковщик:
Для осложнения определения и сокращения размера файла он был запакован следующими паковщиками:
• Morphine
• FSG 2

Краткое описание см. здесь.

Описание добавлено: Razvan Olteanu Mon, 15 Aug 2005 09:23 (GMT+1)
Описание обновлено: Razvan Olteanu Tue, 30 Aug 2005 08:38 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back