WORM_SDBOT.UH

Verwendet eine Liste von Benutzernamen, um auf kennwortgeschützte Freigabelaufwerke zuzugreifen. Verwendet eine Liste von Kennwörtern, um auf kennwortgeschützte Freigabelaufwerke zuzugreifen. Nutzt unbekannte Software-Schwachstellen, um sich in Netzwerken zu verbreiten.

Verbindet sich mit IRC-Servern (Internet Relay Chat). Führt bestimmte Befehle aus, die sie extern von einem böswilligen Benutzer erhält. Dadurch sind der betroffene Computer und auf ihm gespeicherte Daten stärker gefährdet.

Führt mit Hilfe bestimmter Flooding-Methoden DoS-Angriffe (Denial of Service) auf die betroffenen Systeme durch.

Entwendet CD-Schlüssel, Seriennummern und/oder die Produktkennung bestimmter Software. Cyber-Kriminelle können aus diesen Daten Profit schlagen. Verwendet einen Sniffer, um Kennwörter aus Netzwerkpaketen zu erhalten. Dadurch kann diese Malware Kennwörter für Computer erhalten, die mit dem System verbunden sind.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %System%\WIN32X.EXE

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
Microsoft Time Manager = "dveldr.exe"

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\RunServices
Microsoft Time Manager = "dveldr.exe"

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_LOCAL_MACHINE\Software\Microsoft\
Ole
Microsoft Time Manager = "dveldr.exe"

Verbreitung

Schleust Eigenkopien in die folgenden Freigabeordner ein:

• ADMIN$\system32
• C$\Windows\system32
• C$\WINNT\system32
• IPC$

Verwendet die folgende Liste von Benutzernamen, um auf kennwortgeschützte Freigabelaufwerke zuzugreifen:

• {blank}
• accounting
• accounts
• administrador
• administrat
• administrateur
• administrator
• admins
• backup
• blank
• brian
• chris
• cisco
• compaq
• computer
• control
• database
• default
• exchange
• george
• guest
• homeuser
• internet
• intranet
• katie
• nokia
• oeminstall
• oemuser
• office
• oracle
• orainstall
• outlook
• owner
• peter
• siemens
• staff
• student
• susan
• teacher
• technical
• win2000
• win2k
• win98
• windows
• winnt
• winxp
• wwwadmin

Verwendet die folgende Liste von Kennwörtern, um auf kennwortgeschützte Freigabelaufwerke zuzugreifen:

• {blank}
• 12345
• 123456
• 1234567
• 12345678
• 123456789
• 1234567890
• access
• bitch
• changeme
• databasepass
• databasepassword
• db1234
• dbpass
• dbpassword
• domain
• domainpass
• domainpassword
• hello
• linux
• login
• loginpass
• pass1234
• passwd
• password
• password1
• qwerty
• server
• sqlpassoainstall
• system
• winpass

Nutzt die folgenden Software-Schwachstellen, um sich in Netzwerken zu verbreiten:

• (MS03-026) Buffer Overrun In RPC Interface Could Allow Code Execution
• (MS02-061) Elevation of Privilege in SQL Server Web Tasks (Q316333)
• (MS03-007) Unchecked Buffer In Windows Component Could Cause Server Compromise (815021)
• (MS04-011) Security Update for Microsoft Windows (835732)

Backdoor-Routine

Verbindet sich mit einem oder mehreren der folgenden IRC-Server:

• irc.{BLOCKED}o.net

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Update malware from HTTP and FTP URL
• Steal CD keys of games
• Execute a file
• Download from HTTP and FTP URL
• Open a command shell
• Open files
• Display the driver list
• Get screen capture
• Capture pictures and video clips
• Display netinfo
• Make a bot join a channel
• Stop and start a thread
• List all running process
• Rename a file
• Generate a random nickname
• Perform different kinds of distributed denial of service (DDoS) attacks
• Retrieve and clear log files
• Terminate the bot
• Disconnect the bot from IRC
• Send a message to the IRC server
• Let the bot perform mode change
• Change BOT ID
• Display connection type, local IP address, and other net information
• Log in and log out the user
• Issue Ping attack on to a target computer
• Display system information such as CPU speed, Amount of memory, Windows platform, build version and product ID, Malware uptime, User name

Denial-of-Service-Angriff (DoS)

Führt mit Hilfe folgender Flooding-Methoden DoS-Angriffe (Denial of Service) auf die betroffenen Systeme durch:

• HTTP
• ICMP
• SYN
• UDP

Datendiebstahl

Entwendet CD-Schlüssel, Seriennummern und/oder die Produktkennung bestimmter Software.

Startet einen Carnivore-Sniffer, um mit Hilfe bestimmter Zeichenfolgen Kennwörter aus Netzwerkpaketen zu erhalten.