Worm/Wootbot.69120 - Worm

это описание доступно в

Резюме

Подробное описание

Статистика

Имя:	Worm/Wootbot.69120
Обнаружен:	27/02/2006
Вид:	Червь
В реальных условиях:	Нет
Отмеченные факты заражения:	Низкий
Потенциал распространения:	Средний
Потенциал повреждений:	Средний
Файл статистики:	Да
Размер файла:	69.120 байт.
Контрольная сумма MD5:	9c45675530bcdb29c236e8e552a21861
Версия VDF:	6.33.01.33

Общее Метод распространения:
   • Локальная сеть

Псевдонимы (аliases):
   • TrendMicro: WORM_AGOBOT.BAV
   • Bitdefender: Backdoor.SDBot.801370DB

Операционные системы:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Последствия:
   • Изменение реестра
   • Использует уязвимость ПО
   • Похищает информацию
   • Позволяет несанкционированно подключиться к компьютеру

Файлы Создается собственная копия:
• %SYSDIR%\winlogins.exe

Выполненная копия программы удаляется.

Реестр Добавляются ключи реестра для повторного запуска процессов после перезагрузки системы.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • Windows Logon Autorun = winlogins.exe

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]
   • Windows Logon Autorun = winlogins.exe

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • Windows Logon Autorun = winlogins.exe

– [HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce]
   • Windows Logon Autorun = winlogins.exe

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
   • Windows Logon Autorun = winlogins.exe

Для загрузки службы после перезагрузки системы добавляются следующие ключи реестра.

– [HKLM\SYSTEM\CurrentControlSet\Services\win]
   • Type = dword:00000020
   • Start = dword:00000004
   • ErrorControl = dword:00000001
   • ImagePath = "%SYSDIR%\winlogins.exe" -netsvcs
   • DisplayName = Windows Logon Autorun
   • ObjectName = LocalSystem
   • FailureActions = %шестнадцатиричное значение%
   • DeleteFlag = dword:00000001

– [HKLM\SYSTEM\CurrentControlSet\Services\win\Security]
   • Security = %шестнадцатиричное значение%

– [HKLM\SYSTEM\CurrentControlSet\Services\win\Enum]
   • 0 = Root\\LEGACY_WIN\\0000
   • Count = dword:00000001
   • NextInstance = dword:00000001

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WIN]
   • NextInstance = dword:00000001

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WIN\0000]
   • Service = win
   • Legacy = dword:00000001
   • ConfigFlags = dword:00000000
   • Class = LegacyDriver
   • ClassGUID = {8ECC055D-047F-11D1-A537-0000F8753ED1}
   • DeviceDesc = Windows Logon Autorun

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WIN\0000\Control]
   • *NewlyCreated* = dword:00000000
   • ActiveService = win

Сетевое инфицирование Вредоносная программа пытается установить соединение с другим компьютером для целей дальнейшего распространения. Подробности приводятся далее.

Эксплойт:
Используются следующие бреши в безопасности:
– MS04-007 (Уязвимость ASN.1)
– MS04-011 (Уязвимость LSASS)
– MS05-039 (уязвимость в Plug and Play)

Процесс инфицирования:
На выбранном компьютере создается FTP скрипт. Он загружает потенциально опасные программы на удаленный компьютер.

IRC Для передачи системной информации и установки удаленного соединения происходит подключение к IRC серверу:

Сервер: kocka.my**********
Порт: 6660
Пароль сервера: H4xThisSite
Канал: #forbot
Имя: ATF-%случайная буквенная комбинация%
Пароль: ForBotASNPnP

– Данная вредоносная программа способна собирать и передавать следующую информацию:
    • Скорость процессора
    • Свободная оперативная память
    • Время жизни вредоносной программы
    • Объем памяти
    • Имя пользователя
    • Информация об операционной системе Windows

– Вредоносная программа обладает способностью выполнять следующие действия:
    • Начать DDoS ICMP атаку
    • Запускается DDoS UDP атака
    • Отключить сетевые папки общего доступа
    • Загрузить файл
    • Редактировать реестр
    • Подключить сетевые папки общего доступа
    • Запустить файл
    • Проверка сети
    • Регистрация службы
    • Перезапустить систему
    • Завершить работу системы
    • Запуск процедуры распространения

Backdoor Открывается порт:

– winlogins.exe к произвольному TCP порту для обеспечения FTP сервера.

Данные файла Язык программирования:
Программа была написана на MS Visual C++.

Паковщик:
Для осложнения определения и сокращения размера файла он был запакован следующим паковщиком:
• NSPack

Краткое описание см. здесь.

Описание добавлено: Andrei Gherman Tue, 28 Feb 2006 15:10 (GMT+1)
Описание обновлено: Andrei Gherman Tue, 28 Feb 2006 15:46 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back