Net-Worm.Win32.Randon

Teknik detaylar

Randon , IRC kanalları ve paylaşılan kaynaklarla LAN'lar aracılığıyla dağıtılan bir Virüs Worm.

Bu solucan çalıştırıldığında, bileşenlerini Windows sistem dizinindeki zxz ve / veya zx alt dizinine yükler ve ana dosyasını ve mIRC istemcisini Windows kayıt defteri otomatik çalıştırma anahtarında (aşağıda) kaydeder:

HKLM SoftwareMicrosoftWindowsCurrentVersionRunupdateWins

Randon daha sonra yukarıdaki anahtarı yürütür ve HideWIndows yardımcı programıyla işlemi gizler. Randon, IRC sunucusuna bağlanır ve komut dosyalarını yürütür. DDoS saldırılarına ve IRC kanal taşmasına ek olarak, Randon diğer IRC istemcilerin 445 numaralı bağlantı noktasını tarar.

dağıtım
Açık bir bağlantı noktasının (445) algılanması üzerine solucan, uzak bilgisayardaki açık kaynakları bulmaya ve aşağıdaki şifrelerden birini kullanarak bağlanmaya çalışan sencs.bat ve incs.bat toplu dosyalarını çalıştırır:

"admin", "yönetici", "root", "admin", "test", "test123", "temp", 
"temp123", "pass", "şifre", "changeme"  
 

Bir bağlantı başarılı olursa solucan 445 numaralı bağlantı noktasında bir soket açar, Truva atı Truva atı TrojanDownloader.WIn32.APher.gen'i aktarır ve çalıştırır. Bu trojan, "www.q8kiss.net" adresinden solucanın 'tam' versiyonunun kendi kendine ayıklanan bir arşivini indirir ve sisteme yükler.

Ek bilgi
Randon solucanı aşağıdaki bileşenlerden oluşur:

Deta.exe – HideWindows yardımcı programı (WIn32 exe dosyası)
fControl.a – bir IRC betiği (port tarama ve infeksiyon uzak bilgisayarları)
IfCOntrol.a – bir IRC betiği (IRC-kanalları sel ve DDoS saldırıları (farklı adreslere ping))
incs.bat – BATCH dosyası (lan kaynakları şifre kırıcı)
Libparse.exe "PrcView" yardımcı programıdır (Win32 EXE dosyası)
psexec.exe "PsExec" yardımcı programıdır (Win32 EXE dosyası)
rcfg.ini – IRC INI dosyası (diğer komut dosyalarını yükleme)
rconnect.conf – yapılandırma dosyası
reader.w – IRC kanalları ile bağlantı kurmak için solucan tarafından kullanılan takma adların listesi
Sa.exe – TrojanDOwnloader.Win32.Apher
scontrol.a – yardımcı IRC komut dosyası.
sencs.bat – BAT dosyası (bu dosya TrojanDownloader yürütme gerçekleştirmek için uzak bilgisayara aktarılır)
systrey.exe – yeniden adlandırılmış mIRC istemcisi (Wind32 EXE dosyası).