Worm.Win32_Rbot-XE

Cette section destinée aux experts, expose les détails techniques de ce virus.

Taille: Inconnue

Détails techniques:

Rbot-XE se propage par diverses techniques telles que l'exploitation des mots de passe faibles ou l'exploitation des failles du système d'exploitation.

Rbot-XE peut être commandé par un attaquant distant via des canaux IRC. L'utilisateur distant peut ainsi ordonner au composant de porte dérobée de Rbot-XE d'effectuer une série prédéfinie de fonctions.

Méthode d'infection

Lorsqu'il est exécuté, Rbot-XE se copie dans le répertoire %System% en tant que "mcafee32.exe" et modifie la base de registre système afin d'être exécuté à chaque démarrage d'une session utilisateur :

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
Shell
Explorer.exe mcafee32.exe

Rbot-XE modifie également les valeurs du registre suivantes pour sa propre utilisation :

HKLM\SOFTWARE\Microsoft\Ole
EnableDCOM
N

HKLM\SYSTEM\CurrentControlSet\Control\Lsa
restrictanonymous
1

Note: '%System%' est une variable de localisation. Rbot-XE détermine le chemin du répertoire du système en effectuant une requête au système d'exploitation. Le répertoire System par défaut pour Windows 2000 et NT est C:\Winnt\System32; pour 95,98 et ME est C:\Windows\System; et pour XP est C:\Windows\System32.

Rbot-XE modifie également l'entrée suivante de la base de registre afin de restreindre l'accès anonyme aux comptes SAM :

HKLM\SYSTEM\CurrentControlSet\Control\Lsa
restrictanonymousSAM

Rbot-XE peut ajouter et supprimer des partages réseaux et des utilisateurs sur le système infecté.

Le ver change également les paramètres de sécurité de Microsoft Internet Explorer en modifiant l'entrée suivante de la base de registre :

HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3