IRCBot si diffonde rapidamente su MSN
L’ultimo articolo tecnico scritto riguardava un IRCBot che si stava diffondendo via MSN. In effetti quel malware ha attirato molto l’attenzione, soprattutto per l’alto livello di attività durante questi giorni. Il team alle spalle del malware sta rilasciando nuove varianti in maniera rapidissima, cambiando server IRC ogni volta. È il caso di fare un sunto delle varianti conosciute.
Il malware arriva attraverso MSN con uno dei seguenti messaggi:
!! !! !! !! !! !! !! !! por favor no envía para nadie prego non trasmette a chiunque QING BU YAO FA GEI BIEREN !! Skicka inte till någon annan, snälla… ama baskasina yollama por favor não mande isso pra ninguém’ bitte sende es niemand anderem please dont send to anyone else wowwww wowwww s’il te plait ne l’envoie a personne d’autre
Il file può chiamarsi:
Il file è compresso con NTKrnl packer.
Una volta eseguito, può copiarsi all’interno della directory di sistema di Windows come:
E può creare una dll, vettore principale di infezione, all’interno della directory di sistema di Windows con uno dei seguenti nomi:
La DLL viene registrata come CLSID con un valore casuale ed è caricata attraverso il registro alla seguente chiave:
hklm\software\microsoft\windows\currentversion\shellserviceobjectdelayload\
dove il CLSID creato dal malware viene caricato aggiungendo uno dei seguenti valori:
La libreria dinamica è responsabile per la diffusione via MSN e può connettersi ad un server IRC remoto dal quale un attacker può comandare il PC. I server IRC già visti sono:
Il malware è riconosciuto da Prevx come Backdoor.IRCBot.gen ed è totalmente rimosso dal prodotto. Osservando la rapidità con la quale il team che è dietro al malware sta rilasciando nuove varianti, è facile aspettarsi nuove varianti del malware nel corso di questa settimana e durante la prossima. Il consiglio per la settimana è dunque quello di conoscere bene e verificare ciò che si sta accettando via MSN se qualche utente tenta di inviarci un file.
/ - ThE_RaV[3]N - \
Gennaio 15th, 2008 at 01:39
Ciao marco, confermo tutto quello che hai detto. Ora una variante si presenta come download di una emoticon dal facebook. In realtà ti viene scaricato un certo dan.com che insedia un malware un po stupido, ma che però senza l’ausilio di prevx ricorre molte prove e ricerche per essere rimosso.
Invito tutti gli utenti a fare contro informazione e a cercare di tutelarsi nel caso ricevano messaggi dai loro contatti.
/ - ThE_RaV[3]N - \
Gennaio 15th, 2008 at 01:41
Dimenticavo…..il messaggio che vi invita a scaricare il malware si presenta solitamente cosi:
Emoticon con il tuo volto http://members.lycos.co.uk/facebookbeautifuls/?=the.rav3n@hotmail.it