BDS/Hupigon.bsw - Backdoor Server

это описание доступно в

Резюме

Подробное описание

Статистика

Имя:	BDS/Hupigon.bsw
Обнаружен:	14/07/2006
Вид:	Backdoor сервер
В реальных условиях:	Нет
Отмеченные факты заражения:	Низкий
Потенциал распространения:	Низкий
Потенциал повреждений:	Средний
Файл статистики:	Да
Размер файла:	511.488 байт.
Контрольная сумма MD5:	39086acf09522704e1e4f924076fa9ca
Версия VDF:	6.35.00.164
Версия IVDF:	6.35.00.203

Общее Метод распространения:
   • Нет собственной процедуры распространения

Псевдонимы (аliases):
   • Mcafee: BackDoor-AVW
   • Kaspersky: Backdoor.Win32.Hupigon.bsw
   • TrendMicro: BKDR_HUPIGON.VH
   • F-Secure: Backdoor.Win32.Hupigon.bsw
   • Bitdefender: Backdoor.Hupigon.XB

Операционные системы:
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Последствия:
   • Отключение приложений безопасности
   • Создает вредоносные файлы
   • Снижает уровень настроек безопасности
   • Изменение реестра
   • Позволяет несанкционированно подключиться к компьютеру

После запуска выдается следующая информация:

Файлы Создаются собственные копии:
   • %SYSDIR%\fservice.exe
   • %SYSDIR%\sservice.exe
   • %WINDIR%\services.exe

Выполненная копия программы удаляется.

Создаются следующие файлы:

– %Рабочая папка вредоносной программы%\%выполненный файл%.bat После полного завершения процесса создания он запускается на выполнение. Данный batch-файл используется для удаления файла.
– %SYSDIR%\winkey.dll Дальнейшие исследования выявили, что данный файл является вредоносной программой. Определен как: BDS/Probat.bs.DLL2

– %SYSDIR%\reginv.dll Дальнейшие исследования выявили, что данный файл является вредоносной программой. Определен как: BDS/Probat.B.77.A

– %WINDIR%\ktd32.atm Файл содержит строки введенных с клавиатуры символов

Реестр Добавляется ключ реестра для повторного запуска процесса после перезагрузки системы.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\
   Run]
   • "DirectX For Microsoft® Windows"="%SYSDIR%\fservice.exe"

Добавляются следующие ключи реестра:

– [HKCU\Software\Microsoft\Windows NT Script Host\Microsoft DxDiag\
   WinSettings]
   • "Bulas"="1"
   • "FW_KILL"="1"
   • "XP_FW_Disable"="1"
   • "XP_SYS_Recovery"="1"
   • "ICQ_UIN"=""
   • "ICQ_UIN2"=""
   • "Kurban_Ismi"="whbuhl"
   • "Mail"=""
   • "Online_List"="iuuq;..`ev`v/odughslr/bnl.bfh,cho.qsns`u/bfh"
   • "Port"="4001"
   • "Sifre"="032547"
   • "Hata"=""
   • "KSil"="1"
   • "LanNotifie"=""

– [HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\
   {5Y99AE78-58TT-11dW-BE53-Y67078979Y}]
   • "StubPath"="%SYSDIR%\sservice.exe"

Изменяются следующие ключи реестра:

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
   Прежнее значение:
   • "Shell"="Explorer.exe "
   Новое значение:
   • "Shell"="Explorer.exe %SYSDIR%\fservice.exe"

Отключение Windows XP Firewall:
– [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess]
   Прежнее значение:
   • "Start"=%Настройки пользователя%
   Новое значение:
   • "Start"=dword:00000004

– [HKLM\SYSTEM\CurrentControlSet\Services\srservice]
   Прежнее значение:
   • "Start"=%Настройки пользователя%
   Новое значение:
   • "Start"=dword:00000004

– [HKLM\SYSTEM\ControlSet001\Services\srservice]
   Прежнее значение:
   • "Start"=%Настройки пользователя%
   Новое значение:
   • "Start"=dword:00000004

Завершение процесса Список завершаемых служб:
   • wscsvc
   • sharedaccess
   • srservice
   • navapsvc

Backdoor Открываются следующие порты:

– services.exe по TCP порту 5110 для обеспечения backdoor функции.
– services.exe по TCP порту 5112 для обеспечения FTP сервера.
– services.exe по TCP порту 51100 для обеспечения FTP сервера.

Устанавливает соединение с сервером
Следующий:
   • http://adwaw.netfirms.com/cgi-bin/**********

В результате может быть обеспечена пересылка информации и работа функции скрытого удаленного управления. Это происходит с помощью HTTP GET запроса CGI скрипта.

Передает информацию о:
    • Кэшированные пароли
    • Имя компьютера
    • Скорость процессора
    • Тип процессора
    • IP адрес
    • Открытый порт
    • Системное время
    • посещенные URL
    • Информация об операционной системе Windows

Возможности удаленного контроля:
    • Разрыв соединения
    • Смена директории
    • Удалить файл
    • Перечень файлов директории
    • Редактировать реестр
    • Запустить файл
    • Отправить электронную почту

Кража Попытка кражи следующей информации:

– Пароли следующих программ:
   • CuteFTP
   • FlashFXP
   • Trillian
   • Microsoft Outlook Express
   • Yahoo Messenger
   • MSNMessenger
   • NetMeeting

Инфицирование – Следующий файл вставляется в процесс: winkey.dll

    Имя процесса:
   • %все активные процессы%

– Следующий файл вставляется в процесс: reginv.dll

    Имя процесса:
   • %Процессы с ото
Краткое описание см. здесь.

Описание добавлено: Adriana Popa Wed, 06 Sep 2006 10:34 (GMT+1)
Описание обновлено: Adriana Popa Wed, 13 Sep 2006 15:01 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back