Worm/SdBot.abf.4 - Worm

это описание доступно в

Резюме

Подробное описание

Статистика

Имя:	Worm/SdBot.abf.4
Обнаружен:	12/09/2005
Вид:	Червь
В реальных условиях:	Нет
Отмеченные факты заражения:	Низкий
Потенциал распространения:	Средний
Потенциал повреждений:	Средний
Файл статистики:	Да
Размер файла:	36.747 байт.
Контрольная сумма MD5:	e07040eb929d55f766a27501a96524a1
Версия VDF:	6.32.0.7

Общее Метод распространения:
   • Локальная сеть

Псевдоним (alias):
   • VirusBuster: Worm.SdBot.BGQ

Операционные системы:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Последствия:
   • Создает потенциально опасный файл
   • Изменение реестра
   • Использует уязвимость ПО
   • Похищает информацию
   • Позволяет несанкционированно подключиться к компьютеру

Файлы Создается собственная копия:
• %SYSDIR%\T%случайная комбинация из пяти букв%.exe

Реестр Добавляется ключ реестра для повторного запуска процесса после перезагрузки системы.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
• "Jxmnefer"="%SYSDIR%\T%случайная комбинация из пяти букв%.exe"

Сетевое инфицирование Вредоносная программа пытается установить соединение с другим компьютером для целей дальнейшего распространения. Подробности приводятся далее.

Копия объекта помещается в следующие сетевые ресурсы общего доступа:
   • ADMIN$\system32\
   • C$\winnt\system32\
   • IPC$\
   • C$\shared\
   • C$\
   • C$\Documents and Settings\All Users\Documents\
   • C$\windows\system32\

Для обеспечения доступа к удаленному компьютеру используется следующая регистрационная информация:

– Следующий список имен пользователей:
   • "administrator"
   • "administrateur"
   • "administrador"
   • "admin"

– Список паролей:
   • "passwd"; "pass"; "pwd"; "pass1234"; "zxc123"; "qweasd"; "qazwsx";
      "qwe123"; "123qwe"; "123qaz"; "zxcvbnm"; "qweasdzxc"; "666"; "ctx";
      "nokia"; "lan"; "internet"; "freddy"; "glen"; "turnip"; "afro";
      "user1"; "student"; "student1"; "teacher"; "staff"; "intranet";
      "bill"; "fred"; "freddy"; "glen"; "billgates"; "billgate"; "fuckyou";
      "motdepass"; "zaq123"; "zaqxsw"; "123qwe123"; "201"; "202"; "203";
      "204"; "205"; "206"; "207"; "209"; "210"; "211"; "212"; "213"; "214";
      "216"; "217"; "218"; "219"; "220"; "221"; "222"

Эксплойт:
Используется следующая брешь в безопасности:
– MS04-011 (Уязвимость LSASS)

Генарация IP адресов:
Создаются случайные IP адреса и производится попытка установить соединение с этим адресом.

IRC Для передачи системной информации и установки удаленного соединения происходит подключение к IRC серверу:

Сервер: get.**********.info
Порт: 5540
Канал: #ven
Имя: T%случайная комбинация из пяти букв%

– Вредоносная программа обладает способностью выполнять следующие действия:
    • установить соедиениение с IRC сервером
    • разорвать соединение с IRC сервером
    • Войти в чат-комнату IRC
    • Покинуть чат-комнату IRC
    • Проверка сети
    • Запуск процедуры распространения

Кража Попытка кражи следующей информации:

– CD ключ:
• Battlefield 2

Данные файла Язык программирования:
Программа была написана на MS Visual C++.
Для осложнения определения и сокращения размера файла он был запакован следующим паковщиком:
• MEW 11

Краткое описание см. здесь.

Описание добавлено: Catalin Jora Mon, 12 Sep 2005 16:10 (GMT+1)
Описание обновлено: Catalin Jora Wed, 14 Sep 2005 12:38 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back