Worm.Win32.IRCBOT.SDY

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Legt eine AUTORUN.INF-Datei ab, um automatisch die eingeschleusten Kopien auszuführen, wenn ein Benutzer auf die Laufwerke eines betroffenen Systems zugreift.

Verbindet sich mit IRC-Servern (Internet Relay Chat). However, as of this writing, the said sites are inaccessible.

Sammelt bestimmte Informationen auf dem betroffenen Computer.

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust eine Kopie von sich selbst in folgende Ordner ein, wobei verschiedene Dateinamen verwendet werden:

• If OS is Windows XP or older:
  • %ProgramFiles%\CommonFiles\AdobeARM.exe → File attribute is set to system, hidden, readonly
• If OS is Windows 7 or newer:
  • %Application Data%\AdobeARM.exe → File attribute is set to system, hidden, readonly
• {Removable or Remote Drive}\RECYCLER\{SID}\Autorunme.scr → File attribute is set to system, hidden, readonly

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Schleust die folgenden Dateien ein:

• {Removable or Remote Drive}\RECYCLER\{SID}\Desktop.ini → File attribute is set to system, hidden, read only
• {Removable or Remote Drive}\autorun.inf → File attribute is set to system, hidden, read only

Fügt die folgenden Prozesse hinzu:

• If OS is Windows XP or older:
  • %ProgramFiles%\CommonFiles\AdobeARM.exe {Malware PID} {Malware File Path}\{Malware File Name}
• If OS is Windows 7 or newer:
  • %Application Data%\AdobeARM.exe {Malware PID} {Malware File Path}\{Malware File Name}

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Erstellt die folgenden Ordner und legt für diese die Attribute System und Versteckt fest, um zu verhindern, dass die darin befindlichen Komponenten von Benutzern entdeckt und entfernt werden:

• {Removable or Remote Drive}\RECYCLER
• {Removable or Remote Drive}\RECYCLER\{SID}

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• routerpccw
• pccwstormlite
• pccwlite

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run (If OS is Windows XP or older)
Adobe ARMS = %ProgramFiles%\CommonFiles\AdobeARM.exe

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run (If OS is Windows 7 or newer)
Adobe ARMS = %Application Data%\AdobeARM.exe

Andere Systemänderungen

Ändert die folgenden Dateien:

• If OS is Windows XP or older:
  • %System%\drivers\tcpip.sys

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).)

Fügt die folgenden Registrierungseinträge als Teil der Installationsroutine hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run (If OS is Windows XP or older)
Patches = 1

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List (If OS is Windows XP or older)
%Program Files%\Common Files\AdobeARM.exe = %Program Files%\Common Files\AdobeARM.exe:*:Enabled:Adobe ARMS

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Tcpip\Parameters (If OS is Windows XP or older)
TcpNumConnections = 0x00FFFFFE

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Dnscache\Parameters (If OS is Windows XP or older)
MaxCacheTtl = 0x00000708

Ändert die folgenden Registrierungseinträge:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
Explorer (If OS is Windows XP or older)
NoFolderOptions = 1

(Note: The default value data of the said registry entry is 0.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
Explorer (If OS is Windows XP or older)
NoRun = 1

(Note: The default value data of the said registry entry is 0.)

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
Explorer (If OS is Windows XP or older)
NoFolderOptions = 1

(Note: The default value data of the said registry entry is 0.)

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
Explorer (If OS is Windows XP or older)
NoRun = 1

(Note: The default value data of the said registry entry is 0.)

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced (If OS is Windows XP or older)
Hidden = 2

(Note: The default value data of the said registry entry is 1.)

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced (If OS is Windows XP or older)
ShowSuperHidden = 0

(Note: The default value data of the said registry entry is 1.)

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced (If OS is Windows XP or older)
SuperHidden = 0

(Note: The default value data of the said registry entry is 1.)

Verbreitung

Legt eine AUTORUN.INF-Datei ab, um automatisch die eingeschleusten Kopien auszuführen, wenn ein Benutzer auf die Laufwerke eines betroffenen Systems zugreift.

Die besagte .INF-Datei enthält die folgenden Zeichenfolgen:

[autorun]
{garbage code}
USEAUTOPLAY=1
open=RECYCLER\{SID}\autorunme.scr
{garbage code}
action=Open folder to view files
{garbage code}
shell\open=Open
shell\open\command=RECYCLER\{SID}\autorunme.scr
shell\open\default=1
{garbage code}

Backdoor-Routine

Verbindet sich mit einem oder mehreren der folgenden IRC-Server:

• tcp://{BLOCKED}opto.org:7562

However, as of this writing, the said sites are inaccessible.

Datendiebstahl

Sammelt die folgenden Informationen auf dem betroffenen Computer:

• OS version
• Computer name
• Locale Info

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• tcp://{BLOCKED}.0:71

Es macht Folgendes:

• It terminates itself if the following checks if it is running in a sandbox or virtual environment is successful:
  • Loads sbiedll.dll.
  • Checks if username is CurrentUser.
  • Execute an instruction that will raise an exception in virtual machines.
• It terminates itself if it detects that it is being debugged.
• It injects code into explorer.exe that will start the malware if it is terminated.
• Based on code analysis, it has the capability to download files from its server and terminate processes.