BDS/Haxdoor.GA.12 - Backdoor Server

это описание доступно в

Резюме

Подробное описание

Статистика

Имя:	BDS/Haxdoor.GA.12
Обнаружен:	24/07/2006
Вид:	Backdoor сервер
В реальных условиях:	Да
Отмеченные факты заражения:	Низкий
Потенциал распространения:	Низкий
Потенциал повреждений:	Средний
Файл статистики:	Да
Размер файла:	56.276 байт.
Контрольная сумма MD5:	82a365b7a90B47d9cf0F2c9cd63c3ad1
Версия VDF:	6.35.00.208
Версия IVDF:	6.35.00.248

Общее Псевдонимы (аliases):
   • Symantec: Backdoor.Haxdoor.O
   • Mcafee: BackDoor-BAC
   • Kaspersky: Backdoor.Win32.Haxdoor.ga
   • Sophos: Troj/Haxdoor-CP
   • VirusBuster: trojan Trojan.DR.Haxdoor.JI
   • Bitdefender: Backdoor.Haxdoor.JK

Операционные системы:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP

Последствия:
   • Блокирует доступ к веб-страницам IT-security компаний
   • Отключение приложений безопасности
   • Создает вредоносные файлы
   • Изменение реестра
   • Похищает информацию
   • Позволяет несанкционированно подключиться к компьютеру

Файлы Создаются следующие файлы:

– %SYSDIR%\yvsvga.dll Дальнейшие исследования выявили, что данный файл является вредоносной программой. Определен как: TR/PSW.PdPi.CT.1.D

– %SYSDIR%\qo.dll Дальнейшие исследования выявили, что данный файл является вредоносной программой. Определен как: TR/PSW.PdPi.CT.1.D

– %SYSDIR%\yvsvga.sys Дальнейшие исследования выявили, что данный файл является вредоносной программой. Определен как: BDS/Haxdoor.GA.13

– %SYSDIR%\ycsvga.sys Дальнейшие исследования выявили, что данный файл является вредоносной программой. Определен как: BDS/Haxdoor.GA.13

– %SYSDIR%\qo.sys Дальнейшие исследования выявили, что данный файл является вредоносной программой. Определен как: BDS/Haxdoor.GA.13

– %SYSDIR%\lps.dat
– %SYSDIR%\kgctini.dat
– %SYSDIR%\kps001.sys Файл содержит строки введенных с клавиатуры символов
– %SYSDIR%\shsvga.bin
– %SYSDIR%\gsvga.bin
– %SYSDIR%\mnsvgas.bin
– %SYSDIR%\ttsvga.dat
– %SYSDIR%\tnstt.a3d
– %SYSDIR%\wagfola4w.dat

Реестр Добавляются ключи реестра для повторного запуска процессов после перезагрузки системы.

– HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\
   yvsvga
   • "CID"=%hex value%
   • "DllName"="yvsvga.dll"
   • "Startup"="XFD00Safex"
   • "Impersonate"=dword:00000001
   • "Asynchronous"=dword:00000001
   • "MaxWait"=dword:00000001

– HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\ycsvga.sys
   • @="Driver"

– HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\ycsvga.sys
   • @="Driver"

Для загрузки служб после перезагрузки системы добавляются следующие ключи реестра.

– HKLM\SYSTEM\CurrentControlSet\Services\ycsvga
   • "Type"=dword:00000001
   • "Start"=dword:00000001
   • "ErrorControl"=dword:00000000
   • "ImagePath"="%SYSDIR%\ycsvga.sys"
   • "DisplayName"="NDIS OSI"

– HKLM\SYSTEM\CurrentControlSet\Services\yvsvga
   • "Type"=dword:00000001
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000000
   • "ImagePath"="%SYSDIR%\ycsvg.sys"
   • "DisplayName"="NDIS OSI32"

Добавляются следующие ключи реестра:

– HKLM\SYSTEM\CurrentControlSet\Services\ycsvga\Enum
   • "0"="Root\\LEGACY_YCSVGA\\0000"
   • "Count"=dword:00000001
   • "NextInstance"=dword:00000001

– HKLM\SYSTEM\CurrentControlSet\Services\yvsvga\Security
   • "Security"=%hex value%

– HKLM\SYSTEM\CurrentControlSet\Services\yvsvga\Enum
   • "Count"=dword:00000000
   • "NextInstance"=dword:00000000
   • "INITSTARTFAILED"=dword:00000001

Завершение процесса Список завершаемых процессов:
   • zapro.exe
   • vsmon.exe
   • jamapp.exe
   • atrack.exe
   • iamapp.exe
   • FwAct.exe
   • mpfagent.exe
   • outpost.exe
   • zlclient.exe
   • mpftray.exe

Backdoor Открываются следующие порты:

– %SYSDIR%\yvsvga.dll к произвольному TCP порту
– %SYSDIR%\yvsvga.dll к произвольному TCP порту
– %SYSDIR%\yvsvga.dll к произвольному TCP порту

Передает информацию о:
    • Кэшированные пароли
    • Созданный лог-файл

Возможности удаленного контроля:
    • Загрузить файл
    • Запустить файл
    • Отправить электронную почту
    • Запуск программы контроля клавиатуры

Кража Попытка кражи следующей информации:
– Информация об учетной записи электронной почты из реестра: HKCU\Software\Microsoft\Internet Account Manager\Accounts

– Протоколируется:
• Нажатие клавиш

– После посещения следующей веб-страницы была запущена функция протоколирования:
• www.e-gold.com

Инфицирование – Следующий файл вставляется в процесс: %SYSDIR%\yvsvga.dll

    Имя процесса:
   • %каждый вновь запущенный процесс
      после определения находящихся в
      памяти активных потенциально опасных
      программ%

Цель:
Доступ к следующим веб-сайтам блокирован:
   • customer.symantec.com; dispatch.mcafee.com; download.mcafee.com;
      avp.com avp.ru awaps.net; virustotal.com; engine.awaps.net;
      f-secure.com; updates.drweb-online.com; ftp.kaspersky.ru;
      rads.mcafee.com; ftp.sophos.com; liveupdate.symantec.com;
      kaspersky.com; kaspersky-labs.com; kaspersky.ru;
      liveupdate.symantecliveupdate.com; mast.mcafee.com; mcafee.com;
      my-etrust.com; networkassociates.com; phx.corporate-ir.net;
      securityresponse.symantec.com; service1.symantec.com; sophos.com;
      spd.atdmt.com; symantec.com; trendmicro.com; update.symantec.com;
      updates.symantec.com; us.mcafee.com; u2.eset.com

Технология Rootkit Скрывает следующее:
– Собственные файлы
– Собственные процессы

Используемый метод:
• Невидимый из Windows API

Данные файла Паковщик:
Для осложнения определения и сокращения размера файла он был запакован следующим паковщиком:
• FSG

Краткое описание см. здесь.

Описание добавлено: Bogdan Iliuta Wed, 20 Sep 2006 15:11 (GMT+1)
Описание обновлено: Andrei Ivanes Mon, 16 Oct 2006 12:08 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back