Worm.Win32_Sdbot-XH

Cette section destinée aux experts, expose les détails techniques de ce virus.

Taille: 80384 Octet(s)

Détails techniques:

Lorsqu'il est exécuté, Sdbot-XH se copie dans le répertoire %System% sous le nom de "windesktop.exe", et, pour s'exécuter automatiquement au démarrage de Windows et à chaque ouverture de session d'un utilisateur, crée dans le registre les entrées suivantes :

HKCU\Software\Microsoft\Windows\CurrentVersion\Run\
Windows Desktop Controler
windesktop.exe

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
Windows Desktop Controler
windesktop.exe

HKCU\Software\Microsoft\Windows\CurrentVersion\RunServices\
Windows Desktop Controler
windesktop.exe

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices\
Windows Desktop Controler
windesktop.exe

Pour désactiver le démarrage automatique d'autres logiciels, le ver paramètre les entrées de registre suivantes :

HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\
Start
4

HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\
Start
4

HKLM\SYSTEM\CurrentControlSet\Services\wuauserv\
Start
4

HKLM\SYSTEM\CurrentControlSet\Services\wuauserv\
Start
4

Des entrées de registre sont aussi créées sous :
HKCU\Software\Microsoft\OLE\
HKLM\SOFTWARE\Microsoft\Ole\

Sdbot-XH tente de se connecter à un canal IRC prédéterminé et y attend d'autres commandes envoyées par des utilisateurs distants. Le composant de porte dérobée de Sdbot-XH peut recevoir l'ordre d'accomplir les fonctions suivantes :
- contrôlers les réseaux à la recherche de failles
- télécharger/exécuter des fichiers arbitraires
- démarrer un serveur ftp

Sdbot-XH injecte par ailleurs un fichier dans le dossier courant sous le nom de "msdirectx.sys". Le fichier injecté est détecté sous le nom de "NtRootK-F" et est un cheval de Troie.

Le ver change le fichier Windows HOSTS dans le but d'empêcher l'accès aux sites de la liste suivante :
avp.com
ca.com
customer.symantec.com
dispatch.mcafee.com
download.mcafee.com
f-secure.com
kaspersky.com
kaspersky-labs.com
liveupdate.symantec.com
liveupdate.symantecliveupdate.com
mast.mcafee.com
mcafee.com
my-etrust.com
nai.com
networkassociates.com
rads.mcafee.com
secure.nai.com
securityresponse.symantec.com
sophos.com
symantec.com
trendmicro.com
update.symantec.com
updates.symantec.com
us.mcafee.com
viruslist.com
www.avp.com
www.ca.com
www.f-secure.com
www.grisoft.com
www.kaspersky.com
www.mcafee.com
www.my-etrust.com
www.nai.com
www.networkassociates.com
www.sophos.com
www.symantec.com
www.trendmicro.com
www.viruslist.com

Sdbot-XH tente de mettre fin à un certain nombre de processus y compris ceux relatifs à diverses applications AV et de sécurité ainsi qu'à des otuils système et d'autres vers et chevaux de Troie.