[ February 06, 2005 ] آشنايي با ويروس W32/Agobot-PI

توسط: سید آرش حسینیان - www.IRVirus.Com

نام :: W32/Agobot-PI
نوع :: کرم
طریقه پخش :: اشتراکات شبکه
سیستم عامل هدف :: ویندوز
نام مستعار :: Backdoor.Win32.Agobot.jg

وظایف ::
1 - از بین بردن پردازش برنامه های آنتی ویروس
2 - دسترسی دیگران به منابع سیستم
3 - دزدین اطلاعت سیستم
4 - دانلود کد از اینترنت

تشریح ::
این کرم زمانی که اجرا می شود خود را با نام فایل Ksrv32.exe در شاخه سیستم ویندز کپی می کند . همچنین این شاخه ها را در رجیستری می سازد ::

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
Ksrv32
Ksrv32.exe
HKLM\Software\Microsoft\Windows\CurrentVersion\Run Services
Ksrv32
Ksrv32.exe

همچنین این کرم حاوی کد های تروجان گونه هستند که از طریق کانال های IRC به هکر اجزاه کار های زیر را می دهند ::

harvest email addresses
steal product registration information for certain software
take part in Distributed Denial of Service (DDoS) attacks
scan networks for vulnerabilities
download/execute arbitrary files
start a proxy server (SOCKS4/SOCKS5)
start/stop system services
monitor network communications (packet sniffing)
add/remove network shares
send email
log keypresses

همچنین این کرم از پردازش انتی ویروس ها جلو گیری می کند و همچنین دسترسی به سایت های زیر را برای کاربر غیر ممکن می کند ::

127.0.0.1 http://www.symantec.com
127.0.0.1 securityresponse.symantec.com
127.0.0.1 symantec.com
127.0.0.1 http://www.sophos.com
127.0.0.1 sophos.com
127.0.0.1 http://www.mcafee.com
127.0.0.1 mcafee.com
127.0.0.1 liveupdate.symantecliveupdate.com
127.0.0.1 http://www.viruslist.com
127.0.0.1 viruslist.com
127.0.0.1 viruslist.com
127.0.0.1 f-secure.com
127.0.0.1 http://www.f-secure.com
127.0.0.1 kaspersky.com
127.0.0.1 http://www.avp.com
127.0.0.1 http://www.kaspersky.com
127.0.0.1 avp.com
127.0.0.1 http://www.networkassociates.com
127.0.0.1 networkassociates.com
127.0.0.1 http://www.ca.com
127.0.0.1 ca.com
127.0.0.1 mast.mcafee.com
127.0.0.1 my-etrust.com
127.0.0.1 http://www.my-etrust.com
127.0.0.1 download.mcafee.com
127.0.0.1 dispatch.mcafee.com
127.0.0.1 secure.nai.com
127.0.0.1 nai.com
127.0.0.1 http://www.nai.com
127.0.0.1 update.symantec.com
127.0.0.1 updates.symantec.com
127.0.0.1 us.mcafee.com
127.0.0.1 liveupdate.symantec.com
127.0.0.1 customer.symantec.com
127.0.0.1 rads.mcafee.com
127.0.0.1 trendmicro.com
127.0.0.1 http://www.trendmicro.com