BDS/CodBot.AT - Backdoor Server

это описание доступно в

Резюме

Подробное описание

Статистика

Имя:	BDS/CodBot.AT
Обнаружен:	13/10/2005
Вид:	Backdoor сервер
В реальных условиях:	Нет
Отмеченные факты заражения:	Низкий
Потенциал распространения:	Средний
Потенциал повреждений:	Средний
Файл статистики:	Да
Размер файла:	24.576 байт.
Контрольная сумма MD5:	2e8fbee76c2339e9894b628fb0dc341c
Версия VDF:	6.32.00.09

Общее Метод распространения:
   • Локальная сеть

Псевдонимы (аliases):
   • Symantec: W32.Toxbot
   • TrendMicro: WORM_CODBOT.AF
   • VirusBuster: Worm.Codbot.AJ
   • Bitdefender: Backdoor.Codbot.AT

Операционные системы:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows 2000
   • Windows XP

Последствия:
   • Изменение реестра
   • Похищает информацию
   • Позволяет несанкционированно подключиться к компьютеру

Файлы Создается собственная копия:
• %SYSDIR%\netddesrv.exe

Создается файл:

– %TEMPDIR%\destroy.cmd После полного завершения процесса создания он запускается на выполнение. Данный batch-файл используется для удаления файла.

Реестр Для загрузки службы после перезагрузки системы добавляются следующие ключи реестра.

– HKLM\SYSTEM\CurrentControlSet\Services\NetDDEsrv
   • "Type"=dword:00000110
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000000
   • "ImagePath"="%SYSDIR%\netddesrv.exe"
   • "DisplayName"="NetDDE Server"
   • "ObjectName"="LocalSystem"
   • "FailureActions"=hex:05,00,00,00,00,00,00,00,00,00,00,00,01,00,00,00,65,00,72,00,01,00,00,00,01,00,00,00
   • "Description"="Provides network transport and security for Dynamic Data Exchange (DDE) for programs running on the same computer or on different computers.

Добавляются следующие ключи реестра:

– HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\NetDDEsrv
   • @="Service"

– HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\NetDDEsrv
   • @="Service"

Сетевое инфицирование Вредоносная программа пытается установить соединение с другим компьютером для целей дальнейшего распространения. Подробности приводятся далее.

Эксплойт:
Используются следующие бреши в безопасности:
– MS02-061 (повышение привилегий в SQL Server Web)
– MS03-026 (Переполнение буфера RPC Interface)
– MS04-007 (Уязвимость ASN.1)
– MS04-011 (Уязвимость LSASS)

IRC Для передачи информации о системе и обеспечения удаленного управления устанавливаются соединения со следующими IRC серверами:

Сервер: 0x80.**********.org
Порт: 6556
Канал: #26#
Имя: %случайная комбинация букв из восьми букв%
Пароль: g3t0u7

Сервер: 0x80.**********.org
Порт: 1023
Канал: #26#
Имя: %случайная комбинация букв из восьми букв%
Пароль: g3t0u7

Сервер: 0x80.my**********.com
Порт: 6556
Канал: #26#
Имя: %случайная комбинация букв из восьми букв%
Пароль: g3t0u7

Сервер: 0x80.my**********.com
Порт: 1023
Канал: #26#
Имя: %случайная комбинация букв из восьми букв%
Пароль: g3t0u7

Сервер: 0x80.my-**********.name
Порт: 6556
Канал: #26#
Имя: %случайная комбинация букв из восьми букв%
Пароль: g3t0u7

Сервер: 0x80.my-**********.name
Порт: 1023
Канал: #26#
Имя: %случайная комбинация букв из восьми букв%
Пароль: g3t0u7

Сервер: 0xff.me**********.info
Порт: 6556
Канал: #26#
Имя: %случайная комбинация букв из восьми букв%
Пароль: g3t0u7

Сервер: 0xff.me**********.info
Порт: 1023
Канал: #26#
Имя: %случайная комбинация букв из восьми букв%
Пароль: g3t0u7

Сервер: 0x80.going**********.com
Порт: 6556
Канал: #26#
Имя: %случайная комбинация из шести букв%
Пароль: g3t0u7

Сервер: 0x80.going**********.com
Порт: 1023
Канал: #26#
Имя: %случайная комбинация из шести букв%
Пароль: g3t0u7

Сервер: 0x80.mar**********.com
Порт: 6556
Канал: #26#
Имя: %случайная комбинация из шести букв%
Пароль: g3t0u7

Сервер: 0x80.mar**********.com
Порт: 1023
Канал: #26#
Имя: %случайная комбинация из шести букв%
Пароль: g3t0u7

– Данная вредоносная программа способна собирать и передавать следующую информацию:
    • Скорость процессора
    • Свободная оперативная память
    • Время жизни вредоносной программы
    • Объем памяти
    • Информация об операционной системе Windows

– Вредоносная программа обладает способностью выполнять следующие действия:
    • Запустить файл
    • Проверка сети
    • Регистрация службы
    • Запуск программы контроля клавиатуры
    • Остановить процесс

Backdoor Открываются следующие порты:

– %SYSDIR%\netddesrv.exe к произвольному TCP порту для обеспечения FTP сервера.
– %SYSDIR%\netddesrv.exe по UDP порту 69 для обеспечения TFTP сервера.
– %SYSDIR%\netddesrv.exe к произвольному TCP порту

Возможности удаленного контроля:
• Загрузить файл

Кража – Проверяется сетевой трафик. Поиск следующих последовательностей символов:
   • bank
   • ebay
   • e-bay
   • egold
   • e-gold
   • login
   • paypal

Разное Мьютекс:
Создается мьютекс:
• xNeTDDEsrVx

Строка:
Здесь содержится следующая последовательность:
• god hates us all

Данные файла Язык программирования:
Программа была написана на MS Visual C++.

Паковщик:
Для осложнения определения и сокращения размера файла он был запакован следующими паковщиками:
• PecBundle
• PECompact

Краткое описание см. здесь.

Описание добавлено: Irina Boldea Thu, 13 Oct 2005 16:32 (GMT+1)
Описание обновлено: Irina Boldea Fri, 14 Oct 2005 15:01 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back