_Delbot-B

Cette section destinée aux experts, expose les détails techniques de ce virus.

Taille: Inconnue

Détails techniques:

Un atttaquant distant peut ordonner à Delbot-B de :
- Télécharger du code
- Participer à des attaques par déni de service distribué
- Envoyer des courriels
- Fermer le système infecté
- Lancer et arrêter des processus

Lorsqu'il est exécuté, Delbot-B se copie dans le répertoire %Windows% sous le nom de "cftmon.exe" et "mirc.dll" et paramètre périodiquement l'entrée suivante du registre au cas où elle serait supprimée :

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
ctfmon
"%Windows%\cftmon.exe"

Delbot-B peut tenter de mettre fin à des processus associés aux exécutables suivants :
_AVPCC
ACKWIN32
AD-AWARE
ADMINTOOL
ADVXDWIN
AGENTA
AGENTSVR
ALERTSVC
ALOGSERV
AMON9X
ANTI-TROJAN
ANTITROJ
ANTIVIRUS
APIMONITOR
APLICA32
APVXDWIN
ASHDISP
ASHQUICK
ATGUARD
ATRO55EN
ATUPDATER
ATWATCH
AUTODOWN
AUTOTRACE
AVCONSOL
AVENGINE
AVGCC32
AVGCTRL
AVGSERV
AVGSERV9
AVGUARD
AVKPOP
AVKSERV
AVKSERVICE
AVKWCTL
AVKWCTL9
AVSCHED32
AVSYNMGR
AVWINNT
AVXGUI
AVXLIVE
AVXMONITOR9X
AVXMONITORNT
AVXQUAR
BD_PROFESSIONAL
BIDSERVER
BLACKD
BLACKICE
BOOTSCAN
BOOTWARN
CCEVTMGR
CFGINTPR
CFGWIZ
CFIADMIN
CFIAUDIT
CFINET
CFINET32
CLAW95
CLAW95CF
CLEANER
CLEANER3
CLEANPC
CMGRDIAN
CMON016
CONNECTIONMONITOR
CPFNT206
CWNB181
CWNTDWMO
DEFSCANGUI
DEFWATCH
DEPUTY
DPATROL
DRWEB32
DRWEBSCD
ECENGINE
EFPEADM
ESCANH95
ESCANHNT
ESCANV95
ESPWATCH
ETRUSTCIPE
EXANTIVIRUS-CNET
EXPERT
F-AGNT95
F-PROT
F-PROT95
F-STOPW
FAMEH32
FINDVIRU
FIREWALL
FLOWPROTECTOR
FNRB32
FP-WIN
FSAV32
FSAV530STBYB
FSAVSTRT
FSGK32
FSMA32
FSMB32
GBMENU
GBPOLL
GENERICS
GLADIATOR
GUARDDOG
GUARDER
HACKERELIMINATOR
HACKTRACERSETUP
IAMAPP
IAMSERV
IAMSTATS
IBMASN
IBMAVSP
ICLOAD95
ICLOADNT
ICSUPP95
ICSUPPNT
IOMON98
IPARMOR
ISRV95
JAMMER
KAVLITE40ENG
MCVSSHLD
MFW2EN
MGAVRTCL
MGAVRTE
MGHTML
MGUTIL
MINILOG
MONITOR
MOOLIVE
MPFTRAY
MSSMMC32
MWATCH
N32SCANW
NAVAPSVC
NAVAPW32
NAVLU32
NAVSTUB
NAVW32
NAVWNT
NEOWATCHLOG
NEOWATCHTRAY
NETARMOR
NETINFO
NETMON
NETSCANPRO
NETSPYHUNTER-1.2
NETUTILS
NISSERV
NORMIST
NPFMESSENGER
NPSSVC
NSCHED32
NTRTSCAN
NTXCONFIG
NVARCH16
NWSERVICE
NWTOOL16
OSTRONET
OUTPOST
PADMIN
PANIXK
PAVFIRES
PAVPROXY
PAVSRV51
PCCCLIENT
PCCGUIDE
PCCIOMON
PCCNTMON
PCCPFW
PCCWIN97
PCCWIN98
PCFWALLICON
PCSCAN
PERISCOPE
PERSFW
PFWADMIN
PINGSCAN
PLATIN
POP3TRAP
POPROXY
PORTDETECTIVE
PORTMONITOR
PPVSTOP
PRAZNA
PROCMAN
PROGRAMAUDITOR
PROPORT
PROTECTX
PVIEW95
QCONSOLE
QSERVER
QTTASK
RAPAPP
RAV7WIN
RAV8WIN32ENG
RAVMON
RAVWIN8
REALMON
RMVTRJAN
RRGUARD
RSHELL
RTVSCN95
RULAUNCH
SAFEWEB
SBSERV
SCAN32
SCANPM
SCRSCAN
SGSSFW32
SPHINX
SS3EDIT
SUPFTRL
SUPPORTER5
SWEEP95
SWNETSUP
SYMPROXYSVC
TASKALERT
TAUMON
TAUSCAN
TBSCAN
TDS2-NT
THGUARD
TITANIN
TITANINXP
TRJSCAN
TROJAN
TROJANHUNTER
TROJANTRAP3
TUCONF
TWEAK-XP
UMXAGENT
UMXLDRA
V530WTBYB
VBCMSERV
VBCONS
VBWIN9X
VBWINNTW
VETTRAY
VIR-HELP
VNLAN300
VPFW30S
VPTR AY
VPTRAY
VSCAN40
VSCHED
VSECOMR
VSHWIN32
VSMAIN
VSSTAT
WATCHDOG
WATCHER
WEBSCANX
WEBTRAP
WFINDV32
WGFE95
WIMMUN32
WINGATE
WINRECON
WINROUTE
WRADMIN
WRCTRL
WSBGATE
XCOMMSVR
XPF202EN
ZATUTOR
ZAUINST
ZONALM2601
ZONEALARM

Delbot-B injecte également deux fichiers dans le répertoire %Windows%, 0.0(inoffensif) et br.dll.

Note: '%Windows%' est une variable de localisation. Delbot-B détermine le chemin du répertoire de Windows en effectuant une requête au système d'exploitation. Le répertoire Windows par défaut pour Windows 2000 et NT est C:\Winnt; pour 95,98 et ME est C:\Windows\; et pour XP est C:\Windows\.