Backdoor.Win32.Rbot

Дата обнаружения 13/12/2010
Класс Backdoor
Платформа Win32
Описание

Backdoor.Rbot — семейство троянских программ для ОС Windows, предоставляющих злоумышленнику удалённый доступ к заражённой машине. Управляются через IRC. Обладают, в частности, следующей функциональностью:

  • мониторинг сети в поисках «интересных» пакетов (например, содержащих пароли к FTP-серверам, платёжной системе PayPal и т.п.);

  • сканирование сети в поисках машин, подверженных некоторым популярным уязвимостям (RPC DCOM, UPnP, WebDAV и др.); машин, заражённых троянскими программами (Backdoor.Optix, Backdoor.NetDevil, Backdoor.SubSeven и др.) и троянскими компонентами червей (I-Worm.MyDoom, I-Worm.Bagle); а также машин со «слабыми» системными паролями;

  • проведение DoS-атак;

  • запуск на заражённой машине SOCKS- и HTTP-серверов;

  • отсылка злоумышелннику подробной информации о системе, в том числе паролей для некоторых компьютерных игр.

Каждые 50 миллисекунд бэкдор создает потоки, через которые (в случае доступности сети) выполняется соеднение с серверами:

www.starman.ee



www.if.ee

После 256 произведенных соединений, в случае сообщения каким-либо сервером об ошибке, связанной с временной недоступностью ресурса, происходит полусекундная пауза в создании соединений.

Бэкдор размножается при помощи использования уязвимости Microsoft Windows DCOM RPС (MS03-026).

Вирус совершает процедуры отбора IP-адресов для атаки и, в случае наличия на атакуемом компьютере указанной уязвимости, запускает в его системе вредоносный код.

В противном случае бэкдор производит попытки подбора следующих паролей для подключения под логинами Administrator и Admin:

Admin



root



asdfgh



password



00



000



0000



00000



000000



0000000



00000000



1



12



123



1234



12345



123456



1234567



12345678



123456789



secret



secure



security



setup



shadow



shit



sql



super



sys



system



abc123



access



adm



alpha



anon



anonymous



backdoor



backup



beta



bin



coffee



computer



crew



database



debug



default



demo



X



go



guest



hello



install



internet



login



mail



manager



money



monitor



network



new



newpass



nick



nobody



nopass



oracle



pass



passwd



server



poiuytre



private



public



qwerty



random



real



remote



ruler



telnet



temp



test



test1



test2



visitor



windows

В случае успешного подключения к атакуемой машине троянец копирует свой исполняемый файл в системный каталог Windows и запускает его на исполнение.