Worm.Win32_Rbot-BPB

Cette section destinée aux experts, expose les détails techniques de ce virus.

Taille: 114688 Octet(s)

Détails techniques:

Rbot-BPB se propage par diverses techniques telles que l'exploitation des mots de passe faibles ou l'exploitation des failles du système d'exploitation (notamment DCOM-RPC, LSASS).

Rbot-BPB peut être commandé par un attaquant distant via des canaux IRC. L'utilisateur distant peut ainsi ordonner au composant de porte dérobée de Rbot-BPB d'effectuer une série prédéfinie de fonctions.

La particularité de cette variante de Rbot est qu'elle est distribuée en fichier exécutable Win32 compacté PESpin.

Méthode d'infection

Lorsqu'il est exécuté, Rbot se copie dans le répertoire %System% en tant que updates.exe et modifie la base de registre système afin d'être exécuté à chaque démarrage d'une session utilisateur :

HKLM\Software\Microsoft\Windows\CurrentVersion\Run\xpupdate = "updates.exe"
HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices\xpupdate = "updates.exe"

Note: '%System%' est une variable de localisation. Dudrev-A détermine le chemin du répertoire du système en effectuant une requête au système d'exploitation. Le répertoire System par défaut pour Windows 2000 et NT est C:\Winnt\System32; pour 95,98 et ME est C:\Windows\System; et pour XP est C:\Windows\System32.

Rbot-BPB modifie également les valeurs du registre suivantes pour sa propre utilisation :

HKCU\Software\Microsoft\OLE\xpupdate = "updates.exe"