Net-Worm.Win32.Padobot

Technische Details

Worm.Win32.Padobot.a (auch bekannt als Korgo) verbreitet sich im Internet über eine Schwachstelle in Microsoft Windows LSASS. Eine Beschreibung der Sicherheitsanfälligkeit finden Sie im Microsoft Security Bulletin MS04-011

Der Wurm ist in C ++ geschrieben und hat eine Größe von etwa 10 KB, gepackt mit UPX.

Vermehrung

Beim Start kopiert sich der Wurm unter einem zufälligen Namen in das Windows-Systemverzeichnis und registriert diese Datei im System-Registrierungsschlüssel:

 [HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun]
   WinUpdate =% System% Name der Datei 

Es erstellt auch einen Registrierungsschlüssel

 HKLMSOFTWAREMicrosoftWireless
  Server = 1 

Er erstellt die Mutexe "10", "u2" und "uterm5", um seine Anwesenheit im System zu kennzeichnen.

Der Wurm wählt die IP-Adressen von zufälligen Maschinen aus, die infiziert und angegriffen werden sollen, ähnlich wie andere Würmer, die dieselbe LSASS-Schwachstelle ausnutzen.

Andere

Nach der Infektion zeigt eine Opfermaschine eine Fehlermeldung an, dass der LSASS-Dienst fehlgeschlagen ist. Nachdem diese Fehlermeldung angezeigt wurde, startet der Computer möglicherweise neu.

Der Wurm öffnet die TCP-Ports 113, 3067 und 2041, um Befehle zu empfangen.

Es versucht, sich mit mehreren IRC-Kanälen zu verbinden:

 Moskau-advokat.ru
 graz.at.eu.undernet.org
 flandern.be.eu.undernet.org
 caen.fr.eu.undernet.org
 brüssels.be.eu.undernet.org
 los-angeles.ca.us.undernet.org
 washington.dc.us.undernet.org
 london.uk.eu.undernet.org
 lia.zanet.net
 www.gaspode.zanet.org.za
 irc.kar.net 

um Befehle zu empfangen und Daten zu übertragen.