BDS/Agent.nin - Backdoor Server

это описание доступно в

Резюме

Подробное описание

Статистика

Имя:	BDS/Agent.nin
Обнаружен:	13/11/2007
Вид:	Backdoor сервер
В реальных условиях:	Нет
Отмеченные факты заражения:	Низкий
Потенциал распространения:	Низкий
Потенциал повреждений:	Средний
Файл статистики:	Да
Размер файла:	53248 байт.
Контрольная сумма MD5:	0a1c9f1cfacb21ebe0ca2e5a4e017f2b
Версия VDF:	7.00.00.208
Версия IVDF:	7.00.00.216

Общее Операционные системы:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Последствия:
   • Отключение приложений безопасности
   • Снижает уровень настроек безопасности
   • Изменение реестра
   • Похищает информацию
   • Позволяет несанкционированно подключиться к компьютеру

Файлы Создает собственную копию с именем файла из списка
– Кому: %SYSDIR\ С одним из следующих имен:
   • winhelp%случайная буквенная комбинация%%Число%.exe
   • wincheck%случайная буквенная комбинация%%Число%.exe
   • system%случайная буквенная комбинация%%Число%.exe
   • lsas%случайная буквенная комбинация%%Число%.exe
   • svctoc%случайная буквенная комбинация%%Число%.exe

Выполненная копия программы удаляется.

Реестр Добавляется ключ реестра (бесконечный цикл) для повторного запуска процесса после перезагрузки системы.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "Winupdates"="%SYSDIR%\%выполненный файл%.exe"

Создание следующего элемента для "обхода" брандмауера Windows XP:

– [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\
   FirewallPolicy\StandardProfile\AuthorizedApplications\List]
   • "%SYSDIR%\%выполненный
      файл%.exe"="%SYSDIR%\%выполненный
      файл%.exe:*:Enabled:\%выполненный файл%"

Добавляется следующий ключ реестра:

– [HKCU\Software\Microsoft\Windows Updates\RM]

Изменяются следующие ключи реестра:

– [HKCU\Software\Microsoft\Windows Updates]
   Новое значение:
   • "Name"="%выполненный файл%"
     "CurrentVersion"=dword:00000023
     "Last Update"="%актуальная дата% %актуальное время%"
     "Next Update"="%актуальная дата% %актуальное время%"
     "Id"="%Шестнадцатиричное число%"

– [HKLM\SOFTWARE\Microsoft\Security Center]
   Новое значение:
   • "FirewallOverride"=dword:00000001
     "AntiVirusOverride"=dword:00000001

Backdoor Открывается порт:

– %SYSDIR%\%выполненный файл%.exe к произвольному TCP порту для обеспечения backdoor функции.

Устанавливает соединение с сервером
Все последующие:
   • http://87.249.38.126/asg234/**********
   • http://87.249.38.126/asg234/update/**********

В результате может быть обеспечена пересылка информации и работа функции скрытого удаленного управления. Это происходит с помощью HTTP GET запроса PHP скрипта.

Передает информацию о:
    • Текущий malware статус.
    • Открытый порт
    • Информация об операционной системе Windows

Возможности удаленного контроля:
    • Загрузить файл

Разное Связывается со следующим веб-сайтом для проверки установленного Интернет-соединения:
• http://www.windowsupdate.microsoft.com

Мьютекс:
Создается мьютекс:
• 68E1D888-19B3-4F40-8941-95EC38E4AF69

Данные файла Паковщик:
Для осложнения определения и сокращения размера файла он был запакован следующим паковщиком:

Краткое описание см. здесь.

Описание добавлено: Monica Ghitun Thu, 15 Nov 2007 16:48 (GMT+1)
Описание обновлено: Andrei Gherman Wed, 28 Nov 2007 13:10 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back