WORM_SDBOT.FEY

Wird durch den Zugriff auf infizierte Freigabenetzwerke übertragen.

Überwacht die eigenen Autostart-Registrierungseinträge und stellt sie wieder her, falls sie gelöscht werden. Dadurch kann diese Malware immer wieder ausgeführt werden, sobald das betroffene System neu gestartet wurde.

Legt eine AUTORUN.INF-Datei ab, um automatisch die eingeschleusten Kopien auszuführen, wenn ein Benutzer auf die Laufwerke eines betroffenen Systems zugreift.

Führt bestimmte Befehle aus, die sie extern von einem böswilligen Benutzer erhält. Dadurch sind der betroffene Computer und auf ihm gespeicherte Daten stärker gefährdet.

Anschließend werden die heruntergeladenen Dateien ausgeführt. Dadurch können die bösartigen Routinen der heruntergeladenen Dateien auf dem betroffenen System aktiv werden. Zum Zeitpunkt der Fertigstellung dieses Dokuments sind die erwähnten Sites jedoch nicht zugänglich.

Beendet sich selbst, falls festgestellt wird, dass die Ausführung in einer virtuellen Umgebung erfolgt.

Übertragungsdetails

Wird durch den Zugriff auf infizierte Freigabenetzwerke übertragen.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %System%\{9-random-letter filename}.exe

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• sh0w-m3-wh4t-y0u-g0t-l1l-m4m4-6.1

Injiziert Threads in die folgenden normalen Prozesse:

• %Windows%\explorer.exe

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Beendet die Ausführung der zunächst ausgeführten Kopie und führt stattdessen die eingeschleuste Kopie aus.

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Drawing System = "%System%\{9-random-letter}.exe"

Überwacht die eigenen Autostart-Registrierungseinträge und stellt sie wieder her, falls sie gelöscht werden.

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%System%\{9-random-letter filename}.exe = "%System%\{9-random-letter filename}.exe:*:Enabled:Drawing System"

Verbreitung

Schleust folgende Kopie(n) von sich selbst in alle Wechsellaufwerke ein:

• {removable drive letter except A and B}:\{9-random-letter filename}.exe

Legt eine AUTORUN.INF-Datei ab, um automatisch die eingeschleusten Kopien auszuführen, wenn ein Benutzer auf die Laufwerke eines betroffenen Systems zugreift.

Die besagte .INF-Datei enthält die folgenden Zeichenfolgen:

[AutoRun]
open={9-random-letter filename}.exe
shellexecute={9-random-letter filename}.exe
shell\Auto\command={9-random-letter filename}.exe
shell=Auto
[vvflagRun]
aabb=kdkfjdkfk1

Backdoor-Routine

Wählt sich in einen oder mehrere der folgenden IRC-Kanäle ein:

• #xwar

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• create random nickname for itself
• terminate/kill IRC application
• Logout
• Get IRC version
• Change IRC server
• Start/Stop scanning of threads, IP addresses in the network, open ports in specific IP address
• Reconnect to IRC server
• Check status
• Reboot system
• List threads
• List internet information
• List system information
• Get uptime of itself
• Flush DNS
• Ask for the current IP of itself
• Perform UDP Flooding
• Terminate/Kill Bot
• Download files
• Use command prompt

Zum Zeitpunkt der Fertigstellung dieses Textes sind die genannten Server nicht verfügbar.

Download-Routine

Lädt eine aktualisierte Kopie von sich selbst von folgenden Websites herunter:

• http://www.{BLOCKED}te.com/backup/mitm.exe

Speichert die heruntergeladenen Dateien unter den folgenden Namen:

• C:\mitm.exe

Anschließend werden die heruntergeladenen Dateien ausgeführt. Dadurch können die bösartigen Routinen der heruntergeladenen Dateien auf dem betroffenen System aktiv werden.

Zum Zeitpunkt der Fertigstellung dieses Dokuments sind die erwähnten Sites jedoch nicht zugänglich.

Andere Details

Beendet sich selbst, falls festgestellt wird, dass die Ausführung in einer virtuellen Umgebung erfolgt.