Worm/Sdbot.161792.5 - Worm

это описание доступно в

Резюме

Подробное описание

Статистика

Имя:	Worm/Sdbot.161792.5
Обнаружен:	16/10/2006
Вид:	Червь
В реальных условиях:	Нет
Отмеченные факты заражения:	Низкий
Потенциал распространения:	Средний
Потенциал повреждений:	Средний
Файл статистики:	Да
Размер файла:	161.792 байт.
Контрольная сумма MD5:	d03863b35cb9948f95c3b5b6b9dd85f1
Версия VDF:	6.35.01.92
Версия IVDF:	6.35.01.93

Общее Метод распространения:
   • Локальная сеть

Псевдонимы (аliases):
   • Kaspersky: Backdoor.Win32.SdBot.aud
   • TrendMicro: BKDR_SDBOT.AFG
   • Eset: IRC/SdBot

Операционные системы:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Последствия:
   • Изменение реестра
   • Использует уязвимость ПО
   • Позволяет несанкционированно подключиться к компьютеру

Файлы Создается собственная копия:
• %SYSDIR%\tourstartvist.exe

Выполненная копия программы удаляется.

Реестр Для загрузки службы после перезагрузки системы добавляются следующие ключи реестра.

– [HKLM\SYSTEM\CurrentControlSet\Services\trvist\Security]
   • "Security"=%шестнадцатиричное значение%

– [HKLM\SYSTEM\CurrentControlSet\Services\trvist]
   • "Type"=dword:00000110
     "Start"=dword:00000002
     "ErrorControl"=dword:00000000
     "ImagePath"="%SYSDIR%\tourstartvist.exe"
     "DisplayName"="trvist(trvist)"
     "ObjectName"="LocalSystem"
     "FailureActions"=%шестнадцатиричное значение%
     "Description"="Microsoft Windows Tourguide for Microsoft Vista (beta)"

– [HKLM\SYSTEM\CurrentControlSet\Services\trvist\Enum]
   • "0"="Root\\LEGACY_TRVIST\\0000"
     "Count"=dword:00000001
     "NextInstance"=dword:00000001

Добавляются следующие ключи реестра:

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_TRVIST]
   • "NextInstance"=dword:00000001

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_TRVIST\0000]
   • "Service"="trvist"
   • "Legacy"=dword:00000001
   • "ConfigFlags"=dword:00000000
   • "Class"="LegacyDriver"
   • "ClassGUID"="{8ECC055D-047F-11D1-A537-0000F8753ED1}"
   • "DeviceDesc"="trvist(trvist)"

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_TRVIST\0000\
   Control]
   • "*NewlyCreated*"=dword:00000000
   • "ActiveService"="trvist"

Изменяются следующие ключи реестра:

– [HKLM\SYSTEM\CurrentControlSet\Control]
   Новое значение:
   • "WaitToKillServiceTimeout"="7000"

– [HKLM\SYSTEM\CurrentControlSet\Control\ServiceCurrent]
   Новое значение:
   • @=dword:0000000c

Сетевое инфицирование Вредоносная программа пытается установить соединение с другим компьютером для целей дальнейшего распространения. Подробности приводятся далее.

Копия объекта помещается в следующие сетевые ресурсы общего доступа:
   • IPC$
   • C$
   • D$

Эксплойт:
– MS03-026 (Переполнение буфера RPC Interface)
– MS03-039 (Переполнение буфера RPCSS Service)
– MS03-049 (Переполнение буфера Workstation Service)
– MS04-007 (Уязвимость ASN.1)

Генарация IP адресов:
Создаются случайные IP адреса. Первые два блока созданного IP адреса совпадают с реальным собственным. Осуществляется попытка установить соединение с этим адресом.

Процесс инфицирования:
На выбранном компьютере создается FTP скрипт. Он загружает потенциально опасные программы на удаленный компьютер.

Удаленная активация:
–Осуществляется попытка запуска вредоносной программы на вновь зараженном компьютере. Это реализируется с помощью функции NetScheduleJobAdd.

IRC Для передачи информации о системе и обеспечения удаленного управления устанавливаются соединения со следующими IRC серверами:

Сервер: pool.drowning.**********
Порт: 54932
Канал: #rawfl
Имя: FSD-%случайная комбинация из четырех букв%@%IP адрес%
Пароль: lewlz

Сервер: ruler.the-intranet.**********
Порт: 54932
Канал: #rawfl
Имя: FSD-%случайная комбинация из четырех букв%@%IP адрес%
Пароль: lewlz

– Вредоносная программа обладает способностью выполнять следующие действия:
    • установить соедиениение с IRC сервером
    • Отключить сетевые папки общего доступа
    • разорвать соединение с IRC сервером
    • Загрузить файл
    • Подключить сетевые папки общего доступа
    • Запустить файл
    • Войти в чат-комнату IRC
    • Покинуть чат-комнату IRC
    • Проверка сети
    • Перенаправить порт
    • Обновляется самостоятельно
    • Загрузить файл

Backdoor Открывается порт:

– %выполненный файл% к произвольному TCP порту для обеспечения FTP сервера.

Разное Мьютекс:
Создается мьютекс:
• merkjones

Данные файла Язык программирования:
Программа была написана на MS Visual C++.

Паковщик:
Для осложнения определения и сокращения размера файла он был запакован следующим паковщиком:
• ASProtect

Краткое описание см. здесь.

Описание добавлено: Monica Ghitun Mon, 16 Oct 2006 11:44 (GMT+1)
Описание обновлено: Monica Ghitun Wed, 22 Nov 2006 09:47 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back