Worm/SdBot.86236 - Worm

это описание доступно в

Резюме

Подробное описание

Статистика

Имя:	Worm/SdBot.86236
Обнаружен:	05/09/2005
Вид:	Червь
В реальных условиях:	Нет
Отмеченные факты заражения:	Низкий
Потенциал распространения:	Средний
Потенциал повреждений:	Средний
Файл статистики:	Да
Размер файла:	86.236 байт.
Контрольная сумма MD5:	47ebaf7935e8986394abc64a295221a8
Версия VDF:	6.31.1.210

Общее Метод распространения:
   • Локальная сеть

Псевдонимы (аliases):
   • Symantec: W32.Spybot.Worm
   • TrendMicro: BKDR_SDBOT.MY

Операционные системы:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Последствия:
   • Изменение реестра
   • Позволяет несанкционированно подключиться к компьютеру

Файлы Создается собственная копия:
• %SYSDIR%\WinV.exe

Выполненная копия программы удаляется.

Реестр Добавляются ключи реестра для повторного запуска процессов после перезагрузки системы.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "Windows Update 64"="WinV.exe"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]
   • Windows Update 64"="WinV.exe"

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • Windows Update 64"="WinV.exe"

– [HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce]
   • Windows Update 64"="WinV.exe"

Для загрузки службы после перезагрузки системы добавляются следующие ключи реестра.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
   • Windows Update 64"="WinV.exe"

Сетевое инфицирование Вредоносная программа пытается установить соединение с другим компьютером для целей дальнейшего распространения. Подробности приводятся далее.

Эксплойт:
Используется следующая брешь в безопасности:
– MS04-007 (Уязвимость ASN.1)
– MS04-011 (Уязвимость LSASS)

Процесс инфицирования:
На выбранном компьютере создается FTP скрипт. Он загружает потенциально опасные программы на удаленный компьютер.

IRC Для передачи информации о системе и обеспечения удаленного управления устанавливаются соединения со следующими IRC серверами:

Сервер: **********.afraid.org
Порт: 6667
Канал: #pwn
Имя: GoeRoe-%случайная комбинация букв из семи букв%
Пароль: pwn

Сервер: **********.dutchirc.nl
Порт: 6667
Канал: #pwn
Имя: GoeRoe-%случайная комбинация букв из семи букв%
Пароль: pwn

– Данная вредоносная программа способна собирать и передавать следующую информацию:
    • Собранные электронные адреса
    • Скорость процессора
    • Свободное место на диске
    • Свободная оперативная память
    • Время жизни вредоносной программы
    • Информация о запущенных процессах
    • Объем памяти

– Вредоносная программа обладает способностью выполнять следующие действия:
    • Начать DDoS ICMP атаку
    • Начать DDoS SYN атаку
    • Запускается DDoS TCP атака
    • Запускается DDoS UDP атака
    • Отключить сетевые папки общего доступа
    • Загрузить файл
    • Редактировать реестр
    • Запустить файл
    • Войти в чат-комнату IRC
    • Остановить процесс
    • Произвести DDoS атаку
    • Проверка сети
    • Перенаправить порт
    • Регистрация службы
    • Перезапустить систему
    • Отправить электронную почту
    • Завершить работу системы
    • Обновляется самостоятельно
    • Загрузить файл
    • Посещение веб-страницы

Кража Попытка кражи следующей информации:
– Windows Produkt ID

– CD ключи:
   • Unreal Tournament 2004; Unreal Tournament 2003; Soldier Of Fortune 2;
      Soldiers Of Anarchy; Shogun: Total War: Warlord Edition; Ravenshield;
      Neverwinter Nights; Need For Speed: Underground; Need For Speed: Hot
      Pursuit 2; NHL 2003; NHL 2002; Nascar Racing 2003; Nascar Racing 2002;
      Medal of Honor: Allied Assault: Spearhead; Medal of Honor: Allied
      Assault: Breakthrough; Medal of Honor: Allied Assault; James Bond 007:
      Nightfire; Industry Giant 2; IGI2: Covert Strike; Hidden and Dangerous
      2; Half-Life; Gunman Chronicles; Global Operations; Freedom Force;
      FIFA 2003; FIFA 2002; Counter-Strike; Command and Conquer: Tiberian
      Sun; Command and Conquer: Red Alert2; Command and Conquer: Generals:
      Zero Hour; Command and Conquer: Generals; Black and White; Battlefield
      1942: Vietnam; Battlefield 1942: The Road To Rome; Battlefield 1942:
      Secret Weapons Of WWII; Battlefield 1942

– Пароли следующих программ:
   • Yahoo Messenger
   • AIM
   • MSN Messenger

– Запуск функции протоколирования при посещении веб-страницы с одной из следующих последовательностей в URL:
   • paypal.com
   • paypal

– Протоколируется:
    • Регистрационная информация

Краткое описание см. здесь.

Описание добавлено: Razvan Olteanu Mon, 12 Sep 2005 11:05 (GMT+1)
Описание обновлено: Razvan Olteanu Wed, 14 Sep 2005 10:36 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back