Backdoor.Win32.SDBBOT.AB

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Elimina archivos para impedir la ejecución correcta de programas y aplicaciones.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado. Se conecta a un sitio Web para enviar y recibir información.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra los archivos siguientes:

• When ran in a system with a version lower than or equal to Windows 7:
  • Without administrator rights:
  • %Application Data%\{15 Random Characters}.dll
  • With administrator rights:
  • %User Temp%\sdb{4-digit Hex Numbers}.tmp
  • %User Temp%\SDB{4-digit Hex Numbers}.tmp
  • %Windows%\AppPatch\Custom\{Hex Values}.sdb
• When ran in a system with a version greater than Windows 7:
• Without administrator rights:
• %Application Data%\mswinload.dll
• With administrator rights:
• %System%\mswinload0.dll

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).

Agrega los procesos siguientes:

• "%System%\sdbinst.exe" -q -p "%User Temp%\sdb{4-digit Hex Numbers}.tmp"

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• windows_7_windows_10_check_running_once_mutex

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{15 Random Characters} = rundll32 %Application Data%\{15 Random Characters}.dll , #1

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
mswinload = rundll32 %Application Data%\mswinload.dll , #1

Añade las siguientes entradas del registro de Image File Execution Options para ejecutarse a sí mismo cuando se ejecutan determinadas aplicaciones:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
winlogon.exe
VerifierDlls = mswinload0.dll

Otras modificaciones del sistema

Elimina los archivos siguientes:

• %User Temp%\SDB{4-digit Hex Numbers}.tmp
• %Windows%\AppPatch\Custom\{Hex Values}.sdb

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Agrega las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
{3 Random Letters}
{1 Random Letter} = {Hex Values}

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
{3 random letters}
{1 Random Letter} = {Hex Values}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\AppCompatFlags\
Custom\services.exe
{Hex Values}.sdb = {Timestamp}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{Hex Values}.sdb
DisplayName = Microsoft KB2720155

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{Hex Values}.sdb
UninstallString = %System%\sdbinst.exe -u %Windows%\AppPatch\Custom\{Hex Values}.sdb

HKEY_LOCAL_MACHINE\SOFTWARE\Microsot\
Windows NT\CurrentVersion\AppCompatFlags\
InstalledSDB\{Hex Values}
DatabasePath = %Windows%\AppPatch\Custom\{Hex Values}.sdb

HKEY_LOCAL_MACHINE\SOFTWARE\Microsot\
Windows NT\CurrentVersion\AppCompatFlags\
InstalledSDB\{Hex Values}
DatabaseType = {Numbers}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsot\
Windows NT\CurrentVersion\AppCompatFlags\
InstalledSDB\{Hex Values}
DatabaseDescription = Microsoft KB2720155

HKEY_LOCAL_MACHINE\SOFTWARE\Microsot\
Windows NT\CurrentVersion\AppCompatFlags\
InstalledSDB\{Hex Values}
DatabaseInstallTimeStamp = {Timestamp}

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Execute CMD Commands
• Reboot the System
• Sleep
• Record Video
• Enable/Disable RDP
• Port Forward
• Inject PE Files
• Get Drive Information and Directories/Files
• Manage Files (Create,Read,Write,Delete)
• Create Directory

Se conecta a los sitios Web siguientes para enviar y recibir información:

• https://{BLOCKED}003774-live.com
• https://{BLOCKED}000846-live.com

Robo de información

Recopila los siguientes datos:

• Domain Name
• Computer Name
• Country Code
• OS Version and Architecture
• User Privilege
• Proxy Settings

Otros detalles

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
{3 random letters}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
{3 Random Letters}

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
{3 Random Letters}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\AppCompatFlags\
Custom\services.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{Hex Values}.sdb

HKEY_LOCAL_MACHINE\SOFTWARE\Microsot\
Windows NT\CurrentVersion\AppCompatFlags\
InstalledSDB\{Hex Values}

Hace lo siguiente:

• After installing itself in the system, the system it is running on needs to be rebooted in order for it to proceed with its other malicious routines.
• It checks the user privilege it is run with and depending on what was used it will use the following registry tree:
  • HKEY_LOCAL_MACHINE → When run with administrator rights
  • HKEY_CURRENT_USER → When run without administrator rights
• The created registry key contains the loader for the encrypted RAT component and the encrypted RAT component itself.
• It checks the version of the system it is running on and depending on the result will use different ways of establishing persistence:
  • For systems running with a version lower than or equal to Windows 7:
    • Via Applications Shims (Installed with sdbinst.exe)→ When run with administrator rights
    • Via Registry Run Keys → When run without administrator rights
  • For systems running with a version greater than Windows 7:
    • Via Registry Run Keys → When run without administrator rights
    • Via Image File Execution Options Keys → When run with administrator rights