|
W32/Sdbot.XH, SdBot.XH/IRC
|
Sdbot.XH es un destructivo troyano/backdoor reportado el 20 de Abril del 2005, que se propaga a través de las Redes con recursos compartidos configuradas con contraseñas débiles. Infecta con un
archivo de nombre Windesktop.exe, captura y envía información al intruso a través de un canal cifrado del IRC (Internet Chat Relay).
Explota las vulnerabilidades del desbordamiento del buffer en servidores MS SQL 2000, LSASS y el RPC/DCOM. |
Libera un troyano que manipula las estructuras internas del Kernel de Windows termina y esconde los procesos de la mayoría de antivirus, software de control y otros software en el proceso de Inicio automático del sistema.
Modifica el archivo HOSTS para impedir el acceso a los sitios web de software antivirus. Roba la información del sistema y las claves de varios programas instalados y populares juegos de PC.
Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/Server 2003
Una vez ingresado a un sistema se auto-copia a la carpeta %System% con el nombre de Windesktop.exe y para activarse la siguiente vez que se inicie el sistema crea las siguientes llaves de registro:
%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP y Windows Server 2003.
Para impedir la ejecución automática al inicio del sistema de otros programas el gusano agrega estas llaves:
[HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\SharedAccess]
Start = 4
[HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\wuauserv]
Start = 4
[HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\wuauserv]
Start = 4
Al siguiente re-inicio el gusano termina los procesos en ejecución de la mayoría de antivirus, software de control y de otros gusanos y troyanos que estuviesen instalados en los sistemas infectados.
Libera un archivo de nombre msdirectx.sys en la carpeta en uso, que es un troyano que se activa en memoria y esconde los procesos, manipulando las estructuras internas del Kernel de Windows.
luego rastrea aleatoriamente direcciones de redes configuras con contraseñas débiles o con las vulnerabilidades del desbordamiento del buffer en servidores MS SQL 2000, LSASS y el RPC/DCOM.
Actuando como Backdoor se conecta a un determinado canal del IRC (Internet Chat Relay) cuyo nombre se encuentra cifrado dentro de su código desde donde recibirá comandos en forma remota y ejecutará las siguientes acciones:
El gusano modifica el archivo HOSTS para impedir el acceso a las siguientes direcciones relacionadas a sitios web de antivirus:
La información y parches para las vulnerabilidades mencionadas pueden ser descargadas desde:
PER ANTIVIRUS® versión 9.2 con registro de virus al 20 de Abril del 2005 detecta y elimina eficientemente este troyano/backdoor.
