BackDoor.Generic.1138

Тип вируса: Сетевой червь

Размер: 81902 байт

Уязвимые ОС: Win95/98/NT/2k/XP/2k3

Упакован: -

Техническая информация

Написан на Microsoft Visual Basic 6.0.

При своём запуске открывает в Проводнике Windows каталог Мои Документы.

Создаёт копию в C:\WINDOWS\INF\norBtok.exe, которую регистрирует в секции автозапуска системного реестра:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
Bron-Spizaetus = C:\WINDOWS\INF\norBtok.exe
А также
HKCU\Software\Microsoft\Windows\CurrentVersion\Run\
Tok-Cirrhatus = %USERPROFILE%\Local Settings\Application Data\smss.exe

Некоторые модификации BackDoor.Generic.1138 создают свою копию в каталоге %WINDIR%\SHELLNEW\sempalong.exe, которую регистрирует в секции автозагрузки системного реестра -
HKCU\Software\Microsoft\Windows\CurrentVersion\Run\. Кроме того, создаёт копию в системном каталоге с именем eksplorasi.exe, которую регистрирует в следующей секции реестра:

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell
"Shell" = Explorer.exe eksplorasi.exe

Создаёт файлы в следующих каталогах:
C:\Documents and Settings\%USERPROFILE%\Local Settings\Application Data\smss.exe
C:\Documents and Settings\%USERPROFILE%\Local Settings\Application Data\services.exe
C:\Documents and Settings\%USERPROFILE%\Local Settings\Application Data\lsass.exe
C:\Documents and Settings\%USERPROFILE%\Local Settings\Application Data\inetinfo.exe
C:\Documents and Settings\%USERPROFILE%\Templates\A.kotnorB.com
C:\WINDOWS\system32\3D Animation.scr

Создаёт свою копию в меню "Пуск"с именем Empty.pif:
C:\Documents and Settings\%USERPROFILE%\Start Menu\Programs\Startup\Empty.pif

Модифицирует файл Autoexec.bat, внося в него строку pause

Блокриует запуск утилит работы с реестром Regedit и Regedt32, модифицируя значение ключа
HKСU\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools,
подключение командной строки:
HKСU\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableCMD
а также установку режима отображения файлов и папок в Проводнике:
HKСU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFolderOptions

Создаёт текстовый файл с следующим содержанием:

"Brontok.A
By: HVM31
-- JowoBot #VM Community --"

Помимо этого помещает свои копии во все катологи, причём имя файла при этом совпадает с именем целевого каталога. Если в каталоге уже существовал файл с тем же именем, червь замещает его своей копией.

Рассылает свои копии по найденным в поражённой системе адресам, напрямую соединяясь с SMTP-серверами, содержащими в своих названиях следующие комбинации:

smtp.
mail.
ns1.

Адреса для своей рассылки червь ищет, просматривая следующие файлы:

HTM
HTML
.TXT
.EML
.WAB
.ASP
.PHP
.CFM
.CSV
.DOC
.HTT

Тело письма представляет собой содержимое HTML-файла (about.Brontok.A.html):

BRONTOK.A[ 18 ]NorBet
-- Hentikan kebobrokan di negeri ini --
1. Adili Koruptor, Penyelundup, Tukang Suap, Penjudi, & Bandar NARKOBA
( Send to "NUSAKAMBANGAN")
2. Stop Free Sex, Absorsi, & Prostitusi
3. Stop (pencemaran laut & sungai), pembakaran hutan & perburuan liar.
4. SAY NO TO DRUGS !!!
-- KIAMAT SUDAH DEKAT --

Вложение представляет собой файл Kangen.exe

Адрес отправителя является поддельным.

Червь отслеживает заголовки активных окон. В случае обнаружения указанных ниже подстрок перезагружает систему:

ADMIN
ADOBE
AHNLAB
ALADDIN
ALERT
ALWIL
ANTIGEN
APACHE
APPLICATION
ARCHIEVE
ASDF
ASSOCIATE
AVAST
AVG
AVIRA
BILLING@
BLACK
BLAH
BLEEP
BUILDER
CANON
CENTER
CILLIN
CISCO
CMD.
CNET
COMMAND
COMMAND PROMPT
CONTOH
CONTROL
CRACK
DARK
DATA
DATABASE
DEMO
DETIK
DEVELOP
DOMAIN
DOWNLOAD
ESAFE
ESAVE
ESCAN
EXAMPLE
FEEDBACK
FIREWALL
FOO@
FUCK
FUJITSU
GATEWAY
GOOGLE
GRISOFT
GROUP
HACK
HAURI
HIDDEN
HP.
IBM.
INFO@
INTEL.
KOMPUTER
LINUX
LOG OFF WINDOWS
LOTUS
MACRO
MALWARE
MASTER
MCAFEE
MICRO
MICROSOFT
MOZILLA
MYSQL
NETSCAPE
NETWORK
NEWS
NOD32
NOKIA
NORMAN
NORTON
NOVELL
NVIDIA
OPERA
OVERTURE
PANDA
PATCH
POSTGRE
PROGRAM
PROLAND
PROMPT
PROTECT
PROXY
RECIPIENT
REGISTRY
RELAY
RESPONSE
ROBOT
SCAN
SCRIPT HOST
SEARCH R
SECURE
SECURITY
SEKUR
SENIOR
SERVER
SERVICE
SHUT DOWN
SIEMENS
SMTP
SOFT
SOME
SOPHOS
SOURCE
SPAM
SPERSKY
SUN.
SUPPORT
SYBARI
SYMANTEC
SYSTEM CONFIGURATION
TEST
TREND
TRUST
UPDATE
UTILITY
VAKSIN
VIRUS
W3.
WINDOWS SECURITY.VBS
WWW
XEROX
XXX
YOUR
ZDNET
ZEND
ZOMBIE