Worm/IRCBot.31392 - Worm

это описание доступно в

Резюме

Подробное описание

Статистика

Имя:	Worm/IRCBot.31392
Обнаружен:	11/10/2006
Вид:	Червь
В реальных условиях:	Нет
Отмеченные факты заражения:	Низкий
Потенциал распространения:	От среднего до высокого
Потенциал повреждений:	От низкого до среднего
Файл статистики:	Да
Размер файла:	31.392 байт.
Контрольная сумма MD5:	4968e99e38c6fd53e9a28f636343fada
Версия VDF:	6.35.01.92
Версия IVDF:	6.35.01.93

Общее Метод распространения:
   • Локальная сеть

Псевдонимы (аliases):
   • Mcafee: W32/Sdbot.worm.gen.bg
   • Kaspersky: Backdoor.Win32.SdBot.gen
   • TrendMicro: WORM_SDBOT.ADD
   • Sophos: W32/Sdbot-Fam
   • Eset: IRC/SdBot

Операционные системы:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Последствия:
   • Изменение реестра
   • Использует уязвимость ПО
   • Позволяет несанкционированно подключиться к компьютеру

Файлы Создается собственная копия:
• %SYSDIR%\sattell.exe

Реестр Добавляется ключ реестра для повторного запуска процесса после перезагрузки системы.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
   • "PourAdked"="sattell.exe"

Добавляются ключи реестра (бесконечный цикл) для повторного запуска процессов после перезагрузки системы.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "PourAdked"="sattell.exe"

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "PourAdked"="sattell.exe"

Сетевое инфицирование Вредоносная программа пытается установить соединение с другим компьютером для целей дальнейшего распространения. Подробности приводятся далее.

Копия объекта помещается в следующие сетевые ресурсы общего доступа:
   • IPC$
   • D$
   • C$\windows\system32
   • c$\winnt\system32
   • ADMIN$\system32\
   • E$\winnt\system32\
   • F$\winnt\system32\

Для обеспечения доступа к удаленному компьютеру используется следующая регистрационная информация:

–Закэшированные имена пользователей и пароли.

– Список имен пользователей и паролей:
   • password; passwd; pass; pwd; password1; pass1234; administrator;
      administrateur; admin; adm; 121; 007; test; guest; none; changeme;
      default; web; www; internet; accounts; accounting; home; homeuser;
      user; user1; oem; oemuser; windows; win98; win2k; winxp; winnt;
      win2000; qaz; asd; zxc; qwe; pass1234; mike; john; peter; luke; ron;
      sam; barbara; bruce; kate; katie; login; loginpass; owa; sage;
      technical; backup; exchange; exchnge; fuck; sex; god; hell; fish;
      heaven; orange; domain; domainpass; domainpassword; database; access;
      dbpass; dbpassword; databasepass; data; databasepassword; db1; db1234;
      sql; sqlpass; cisco; dell; compaq; siemens; yellow; pink; control;
      mass; office; blank; winpass; capitol; userpassword; main; headoffice;
      ctx; nokia; lan; internet; intranet; bill; fred; freddy; glen; turnip;
      afro; user1; student; student1; teacher; staff; oeminstall

Генарация IP адресов:
Создаются случайные IP адреса. Первые три части IP адреса совпадают с реальным собственным адресом. Производится попытка установить соединение с этими адресами.

Удаленная активация:
–Осуществляется попытка запуска вредоносной программы на вновь зараженном компьютере. Это реализируется с помощью функции NetScheduleJobAdd.

IRC Для передачи системной информации и установки удаленного соединения происходит подключение к IRC серверу:

Сервер: yep.surfforfun.**********
Порт: 2371
Канал: #ek
Имя: erv%случайная комбинация из пяти букв%

– Вредоносная программа обладает способностью выполнять следующие действия:
    • установить соедиениение с IRC сервером
    • Начать DDoS SYN атаку
    • Загрузить файл
    • Подключить сетевые папки общего доступа
    • Запустить файл
    • Войти в чат-комнату IRC
    • Покинуть чат-комнату IRC
    • Проверка сети
    • Обновляется самостоятельно

Разное Мьютекс:
Создается мьютекс:
• TruSurround

Данные файла Язык программирования:
Программа была написана на MS Visual C++.

Паковщик:
Для осложнения определения и сокращения размера файла он был запакован следующим паковщиком:

Краткое описание см. здесь.

Описание добавлено: Monica Ghitun Thu, 12 Oct 2006 09:41 (GMT+1)
Описание обновлено: Andrei Ivanes Tue, 31 Oct 2006 12:24 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back