SDBOT
Windows 2000, Windows XP, Windows Server 2003
Malware-Typ:
Worm
Zerstrerisch?:
Nein
Verschlsselt?:
In the wild::
Ja
Überblick
Technische Details
Installation
Schleust folgende Dateien/Komponenten ein:
- %User Temp%\removeMe{4 numbers}.bat
(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)
Schleust die folgenden Eigenkopien in das betroffene System ein:
- %Application Data%\dnsupdater.exe
- %User Temp%\windump.exe
- %Windows%\service.exe
- %Windows%\test.exe
- %Windows%\unek.exe
- %Windows%\unek.exe
- %Windows%\wintask.exe
(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.. %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)
Autostart-Technik
Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
test = "test.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Terminal Server\
Install\Software\Microsoft\
Windows\CurrentVersion\Run
test = "test.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
MSN = "%Windows%\unek.exe"
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
SunJavaUpdateSched = "%Application Data%\dnsupdater.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Windows Services = "service.exe"
Andere Systemänderungen
Fügt die folgenden Registrierungseinträge als Teil der Installationsroutine hinzu:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
{malware path}\{malware name}.exe = "{malware path}\{malware name}.exe:*:Enabled:test"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
{malware path}\{malware name}.exe = "{malware path}\{malware name}.exe:*:Enabled:1"
Verbreitung
Erstellt die folgenden Ordner in allen Wechsellaufwerken:
- RECYCLER
- RECYCLER\S-1-6-21-2434476501-1644491937-600003330-1213
- driver
- driver\usb
Schleust Eigenkopien in die folgenden, von Peer-to-Peer-Netzwerken verwendeten Ordner ein:
- %Program Files%\bearshare\shared\
- %Program Files%\edonkey2000\incoming\
- %Program Files%\emule\incoming\
- %Program Files%\grokster\my grokster\
- %Program Files%\icq\shared folder\
- %Program Files%\kazaa lite k++\my shared folder\
- %Program Files%\kazaa lite\my shared folder\
- %Program Files%\kazaa\my shared folder\
- %Program Files%\limewire\shared\
- %Program Files%\morpheus\my shared folder\
- %Program Files%\tesla\files\
- %Program Files%\winmx\shared\
- {folder path}\bearshare\shared\
- {folder path}\edonkey2000\incoming\
- {folder path}\emule\incoming\
- {folder path}\frostwire\saved\
- {folder path}\frostwire\shared\
- {folder path}\grokster\my grokster\
- {folder path}\icq\shared folder\
- {folder path}\kazaa lite k++\my shared folder\
- {folder path}\kazaa lite\my shared folder\
- {folder path}\kazaa\my shared folder\
- {folder path}\kazaa\my sharedfolder\
- {folder path}\limewire\saved\
- {folder path}\limewire\shared\
- {folder path}\morpheus\my shared folder\
- {folder path}\my music\bearshare\
- {folder path}\my music\imesh\
- {folder path}\shareaza downloads\
- {folder path}\tesla\files\
- {folder path}\winmx\shared\
(Hinweis: %Program Files%ist der Standardordner 'Programme', normalerweise C:\Programme.)
Schleust Eigenkopien in die folgenden Freigabeordner ein:
- SharedDocs\porno_movie.mpeg.exe
- ADMIN$\porno_movie.mpeg.exe
- C$\porno_movie.mpeg.exe
- D$\porno_movie.mpeg.exe
- E$\porno_movie.mpeg.exe
Backdoor-Routine
Verbindet sich mit einem oder mehreren der folgenden IRC-Server:
- irc.{BLOCKED}e.com
- unek.{BLOCKED}p3.com
- Irc.{BLOCKED}z.Com
- irc.{BLOCKED}ini.net