WORM_IRCBOT.KNG

Publish Date: 09 ottobre 2012

Analizzato da: kathleenno

Modificato da: : Kathleen Notario

W32.IRCBot (Symantec); Backdoor:Win32/Lamin.A (Microsoft); Trojan.Win32.Obfuscated.whl (Kaspersky); Generic.dx (Mcafee); W32/IRCBot-ADJ (Sophos); W32/IrcBot.CKB.worm (Panda)

Piattaforma:

Windows 2000, Windows XP, Windows Server 2003

Valutazione del rischio complessivo:

Potenziale dannoso: :

Potenziale di distribuzione: :

Reported Infection:

Basso

Medio

Alto

Critico

Tipo di minaccia informatica:
Worm
Distruttivo?:
No
Crittografato?:
No
In the wild::
Sì

Panoramica e descrizione

Utiliza los iconos de archivos de ciertas aplicaciones para evitar su fácil detección y posterior eliminación.

Se conecta a servidores de IRC.

Dettagli tecnici

Dimensione file: 704,000 bytes

Tipo di file: EXE

Residente in memoria: Sì

Data di ricezione campioni iniziali: 30 settembre 2010

Carica distruttiva: Compromises system security, Connects to URLs/IPs

Instalación

Este malware infiltra los siguientes archivos no maliciosos:

%Program Files%\Microsoft Office\OFFICE11\control.ini
%Program Files%\Microsoft Office\OFFICE11\Drvics32.dll
%Program Files%\Microsoft Office\OFFICE11\hjwgsd.dll
%Program Files%\Microsoft Office\OFFICE11\jwiegh.dll
%Program Files%\Microsoft Office\OFFICE11\PUB60SP.mrc
%Program Files%\Microsoft Office\OFFICE11\remote.ini
%Program Files%\Microsoft Office\OFFICE11\ruimsbbe.dll
%Program Files%\Microsoft Office\OFFICE11\smss.exe
%Program Files%\Microsoft Office\OFFICE11\yofc.dll

(Nota: %Program Files% es la carpeta Archivos de programa predeterminada, que suele estar en C:\Archivos de programa).

)

Crea las siguientes copias de sí mismo en el sistema afectado:

%User Startup%\Adobe Gamma Loader.com
%Program Files%\Microsoft Office\OFFICE11\services.exe
%Program Files%\Microsoft Office\OFFICE11\ WINWORD.EXE

Utiliza los iconos de archivos de las siguientes aplicaciones:

Microsoft Word

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Winlogon
Shell = "%Program Files%\Microsoft Office\OFFICE11\services.exe"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_CLASSES_ROOT\exefile
NeverShowExt =

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
UacDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
AntiVirusDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
AntiVirusOverride = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
FirewallDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
FirewallOverride = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
FirstRunDisabled = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
UpdatesDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
UacDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
system
EnableLUA = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
Acha.exe
Debugger = "cmd.exe /c del"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
AmyMastura.exe
Debugger = "cmd.exe /c del"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
BabyRina.exe
Debugger = "cmd.exe /c del"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
cscript.exe
Debugger = "rundll32.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
csrsz.exe
Debugger = "cmd.exe /c del"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
lsasc.exe
Debugger = "cmd.exe /c del"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
registry.exe
Debugger = "cmd.exe /c del"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
SMSSS.exe
Debugger = "cmd.exe /c del"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
wscript.exe
Debugger = "rundll32.exe"

Agrega las siguientes claves de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\WinDefend

Modifica las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = "0"

(Note: The default value data of the said registry entry is 1.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusDisableNotify = "1"