/
/
/
/
Erstellt am: 2010-07-16, 10:37:48
Modifiziert am: 2010-07-16, 10:37:48
Plattform: Win32
Typ: Trojaner
Größe: 228572
Datum: 2003-12-01
Komprimierung: Petite
Gefährdete Betriebssystem(e): Windows 95, Windows 98, Windows Me, Windows NT, Windows 2000, Windows Server 2003, Windows XP
Ungefährdete Betriebssystem(e): Windows 3.xx, DOS, Linux, Unix, Solaris, MacOS, Mac OS X, OS2
 

Bezeichnungen

Die verschiedenen Antiviren-Programme können die einzelnen Viren, Würmer mit unterschiedlichen Namen bezeichnen. Es kann vorkommen, dass ein Virenschutzsystem die verschiedenen Exemplare eines bestimmten Schadprogramms unter verschiedenen Namen identifiziert. Es ist aber auch möglich, dass verschiedene Viren, Würmer mit dem gleichen Namen bezeichnet werden. In der folgenden Liste sind die Bezeichnungen der meist verbreiteten Virenschutzprogramme zur Information angeführt, die sich natürlich selbst bei den verschiedenen Varianten des jeweiligen Virenschutzprogrammes unterscheiden können.

Die Bezeichnungen des Schadprogramms Win32/Agobot.3.BF Trojaner heißen laut einzelner Virenschutzprogramme:

Antivirus Bezeichnung
Avast Win32:Gaobot-04
AVG Worm/Agobot
BitDefender Generic.Sdbot.983E28B0
e-Trust Win32/Agobot.BP
F-PROT W32/Malware!db45
F-Secure Backdoor.Win32.Agobot.az
Ikarus Backdoor.Win32.Agobot.3
Kaspersky Backdoor.Win32.Agobot.az
Antivirus Bezeichnung
McAfee W32/Gaobot.worm.gen.d(Virus)
Microsoft Win32/Gaobot.AX
NOD32 (ESET) Win32/Agobot.3.BF
Panda W32/Gaobot.AW.worm
Rising Antivirus Backdoor.Agobot.03.az
Sophos W32/Agobot-AX
Trend Micro WORM_SDBOT.GEN-1
VirusBuster Worm.Agobot.Gen.9
 

Installation

Die sich über das Internet oder lokale Netz verbreitenden Würmer bezwecken es vorrangig, einen anderen Rechner zu infizieren. Sie können sich in das Betriebssystem des angegriffenen Computers einbetten, indem sich der Code des Wurms auch nach einem eventuellen Neustart aktiviert. Dafür erstellen die Schädlinge in der Regel eine oder mehrere Datei(en) mit dem Code des Wurms, bzw. fügen einige Einträge in die Regisry ein, die dem startenden Betriebssystem befehlen, auch den frisch eingebetteten Code des Wurms mit zu starten. Darüber hinaus - nicht direkt des Neustarts willen - kopiert sich der Code auch in andere Dateien (Verzeichnisse). Das hat folgendes Doppelziel: Zum einen können die infizierten Bestände nach einer eventuellen VirenVernichtung an versteckten Plätzen bestehen bleiben. Zum anderen ist der Schädling im Stande, sich auch im Intranet, in gemeinsam genutzten Verzeichnissen, in peer-to-peer Netzen zu verbreiten. Weiters kann auch die Einstellung nach der Standardeinstellung von Windows ausgenutzt werden, und zwar kann durch die erstellte AUTORUN.INF Datei bezweckt werden, dass sich auch der Code des Schädlingsprogramms bei der Eröffnung eines Laufwerks aktiviert.
image

Das Ungeziefer Win32/Agobot.3.BF Trojaner im Verzeichnis vom Windows System32 (laut Grundbedeutung: C:\Windows\System32) erzeugt die Datei unter dem Namen: svch0st.exe

image image

Der Schädling Win32/Agobot.3.BF Trojaner erstellt, bzw. ändert (falls bereits vorhanden) folgende Einträge in der systembeschreibenden Datenbasis:

  • [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices] "Configuration Loader"="svch0st.exe"
  • [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "Configuration Loader"="svch0st.exe"
Die Viren, Würmer sind in der Lage, Prozesse stoppen zu versuchen, die Bestandteile von Anti-Viren-Programmen bzw- Firewalls sind. Auch das hat ein doppeltes Ziel: Zum einen wird erschwert, dass der Anwender von der Infektion in Kenntnis Gesetz wird, zum anderen kann auch das Herauskommen des Hintertür-Komponenten erleichtert werden. Sie können auch vom bestimmten Verkehr zum Internet ablenken, den Zugriff auf bestimmte Web-Seiten verhindern.

Der Schädling Win32/Agobot.3.BF Trojaner stoppt folgende Prozesse:

Der Schädling Win32/Agobot.3.BF Trojaner stoppt von anderen Schädlingen folgende Abläufe:

Um sich im lokalen Netzwerk leichter zu verbreiten, sind die Viren und Würmer in der Lage, Dateien bzw. Verzeichnisse im Netz freizugeben und evtl. auf dem infizierten Rechner FTP Server-Dienstleistung zu starten. Selbstverständlich gehen die Schädlinge so vor, um den am anderen Computer sitzenden, neugierigen Anwender durch die Freigabe ebenfalls zu infiziert.

Der Schädling Win32/Agobot.3.BF Trojaner nutzt folgende Dateien als geteilte Datei:

  • admin$
  • d$
  • ipc$
  • print$

Sicherheitslücken

Ein, sich über Internet verbreitender Virus/Wurm kann bei Interaktivität des Benutzers die Sicherheitslücke des Betriebssystems, bzw. einer der Anwendungen des angegriffenen Rechners ausnutzen. Dadurch ist er in der Lage, die Steuerung über den angegriffenen Computer zu übernehmen.

Der Schädling Win32/Agobot.3.BF Trojaner nutzt folgende Sicherheitslücke: MS03-026 , bzw. mit dem Zeichen: MS03-039 von Microsoft aus, um sich zu verbreiten.

Die Verletzbarkeit betrifft den DCOM Teil der RPCSS Dienstleistung. Das RPC (ferner Verfahrenabruf) ist eines der durch die Windows Systeme benutzten wichtigsten Protokolle. Falls der Angreifer diese Verletzbarkeit ausnutzt, kann er in der Lage sein, listige Code laufen zu lassen, bzw. er kann zum Angriff der Dienstleistungsverweigerung fähig sein.

Der Schädling Win32/Agobot.3.BF Trojaner nutzt, um sich zu verbreiten, die Verletzbarkeit MS03-001 von Microsoft aus.

Die Ursache für die Verletzbarkeit liegt in der Möglichkeit des Aktivierens der Code durch den nicht kontrollierten Puffer im Locatorsevice. Der Microsoft Locatorsevice ist ein Namenservice, der logische Namen in netzspezifische Namen wandelt.

Der Schädling Win32/Agobot.3.BF Trojaner nutzt, um sich zu verbreiten, die Verletzbarkeit MS03-007 von Microsoft aus.

Die Ursache für die Sicherheitslücke ist, dass der nicht kontrollierte Puffer einer Windowszusammensetzung Veränderungen von WEB-Server ermöglicht.

Angriff über das Internet

Viele Viren, Würmer sind in der Lage, einen Angriff auf andere Computer über das Internet zu starten und deren Einsatz so unmöglich zu machen.

Der Schädling Trojaner führt folgende "flood" Angriffe durch:

  • syn flood
  • udp flood
  • ping flood

Backdoor

Viren und Würmer öffnen immer häufiger eine Hintertür, einen so genannten Backdoor, auf dem infizierten Rechner. Dadurch können sie voll und ganz die Kontrolle über den Computer übernehmen. So kann der Angreifer auf dem Computer machen was er will: Er kann Anwendungen laufen lassen, Anwendungen stoppen, Dateien herunterladen, Passwörter und Zugriffscode entfernen od. ändern.

Der Schädling Win32/Agobot.3.BF Trojaner öffnet an folgender Schnittstelle (Port) einen Backdoor: 42000 .

Der Schädling Trojaner ermöglicht das Laufen folgender Befehle auf dem Computer:

Gruppe Befehl Beschreibung
bot about displays the info the author wants you to see
bot removeallbut removes the bot if id does not match
bot repeat login
bot rndnick makes the bot generate a new random nick
bot status gives status
bot sysinfo displays the system info
cvar get gets the content of a cvar
cvar list prints a list of all cvars
cvar loadconfig loads config from a file
cvar saveconfig saves config to a file
cvar set sets the content of a cvar
bot die terminates the bot
ddos pingflood starts a Ping flood
ddos stop stops all ddoses running
ddos synflood starts a SYN flood
ddos udpflood starts an UDP flood
ftp download downloads a file from ftp
ftp execute updates the bot from a ftp url
ftp update executes a file from a ftp url
http download downloads a file from http
http execute updates the bot from a http url
http update executes a file from a http url
bot dns resolves ip/hostname by dns
http visit visits an url with a specified referrer
irc action lets the bot perform an action
irc disconnect disconnects the bot from irc
irc getedu prints netinfo when the bot is .edu
irc gethost prints netinfo when host matches
irc join makes the bot join a channel
irc mode lets the bot perform a mode change
irc netinfo prints netinfo
irc part makes the bot part a channel
irc privmsg sends a privmsg
bot execute makes the bot execute a .exe
irc raw sends a raw message to the irc server
irc reconnect reconnects to the server
irc server changes the server the bot connects to
redirect gre starts a gre redirect
redirect http starts a http proxy
redirect stop stops all redirects running
redirect tcp starts a tcp port redirect
scan dcom .scan.dcom %s/24 1000000
scan locator scans for locator exploit
scan netbios scans weak netbios passwords
bot id displays the id of the current code
scan stop stops all scans running asap
scan webdav scans for iis/webdav exploit
bot nick changes the nickname of the bot
bot open opens a file (whatever)
bot quit quits the bot
bot remove removes the bot
Bemerkung: Die englischen Beschreibungen der Befehle in der Tabelle kommen im Code des Virus vor. Ein Mittel der Öffnung einer Hintertür auf dem angegriffenen Rechner ist die Schaffung der Möglichkeit zur Fernsteuerung durch den Virus oder Wurm über irgendeinen IRC-Kanal. Über die IRC-Kanäle kann er sich auch an andere IRC-Anwender weiterschicken.

Der Schädling Win32/Agobot.3.BF Trojaner schließt sich der IRC-Server: owned.free-bsd.org und dem Kanal: #derp an.

Tätigkeiten

Jeder Virus, Wurm macht, was er will, bzw. die vom Programmierer programmierten Funktionen. Manche Viren, Würmer verbinden ihre Tätigkeit (Strafrutine) mit einem Ereignis, meistens mit einem Zeitpunkt.

Bedingung

 bei der Funktion

Tätigkeit
  • das Betriebssystem, Windows wird heruntergefahren

  • die Produktidentifikation (Product ID) folgender beliebten Spielprogramme werden eingesammelt:

Auf den angegriffenen Computer sind die geteilten Verzeichnisse der erstrangige Zielpunkt für die Viren, bzw. Würmer. Dadurch können sie sich nicht nur über das lokale Netz, sondern auch über peer-to-peer (P2P) Beziehungen verbreiten. Darüber hinaus können sie versuchen, Verbindung auch zu den geteilten Verzeichnissen anderer Computer herzustellen.

Zum Anschließen nutzt er folgende Benutzernamen:

Die Virenbeschreibungen auf der Webseite wurden im Auftrage der Firma Sicontact Kft. In dem Virenlabor der Firma Veszprog Kft. angefertigt. Die beschriebenen Eigenschaften halten das Erfahrene in der Testumgebung fest, die Schädlinge können sich in einer davon abweichenden Umgebung anders verhalten als beschrieben. © 2007 Sicontact Kft., Veszprog Kft. Alle Rechte vorbehalten.