An¨¢lisis realizado por : Anthony Joe Melgarejo   
 Modificado por : Neljorn Nathaniel Aguas
 Alias

Backdoor:Perl/Shellbot.S (MICROSOFT)

 Plataforma:

Windows, Linux

 Riesgo general:
 Potencial de destrucci¨®n:
 Potencial de distribuci¨®n:
 Infecci¨®n divulgada:
 Revelaci¨®n de la informaci¨®n:
Bajo
Medio
High
°ä°ù¨ª³Ù¾±³¦´Ç

  • Tipo de malware
    Backdoor

  • Destructivo?
    No

  • Cifrado
    No

  • In the Wild:
    ³§¨ª

  Resumen y descripci¨®n

Canal de infecci¨®n Descargado de Internet, Eliminado por otro tipo de malware

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Se conecta a servidores de IRC. Se une a un canal de IRC. Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado.

  Detalles t¨¦cnicos

Tama?o del archivo 29601 bytes
Tipo de archivo Other
Residente en memoria No
Fecha de recepci¨®n de las muestras iniciales 16 Sep 2010
Carga ¨²til Connects to URLs/IPs, Executes commands

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Rutina de puerta trasera

Se conecta a alguno de los siguientes servidores de IRC:

  • {BLOCKED}.{BLOCKED}.{BLOCKED}.23:443

Se une a alguno de los canales siguientes de IRC:

  • #seul

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

  • Launch DDoS attacks
  • Perform port scanning
  • Execute reverse shells
  • Download files
  • Send emails
  • Retrieve system information
  • Exploit kernel vulnerabilities
  • Manage bot:
    • Toggle attack statistics
    • Change the bot's IRC nickname
    • Terminate the bot
    • Join/leave IRC channels

Otros detalles

It connects to the following possibly malicious URL:

  • http://{BLOCKED}y.ru/xpl

Hace lo siguiente:

  • It masquerades itself as a legitimate process under any of the following process names at random:
    • /usr/lib/systemd/systemd-logind
    • /sbin/init
    • /usr/sbin/ipmaddr
    • /usr/sbin/saslauthd
    • /sbin/syslogd
    • /sbin/tcpslice

  Soluciones

Motor de exploraci¨®n m¨ªnimo 9.700
Primer archivo de patrones de VSAPI 11.186.06
Primera fecha de publicaci¨®n de patrones de VSAPI 02 de octubre de 2014
Versi¨®n de patrones OPR de VSAPI 11.187.00
Fecha de publicaci¨®n de patrones OPR de VSAPI 03 de octubre de 2014

Step 1

Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploraci¨®n, deben comprobar que tienen desactivada la opci¨®n Restaurar sistema para permitir la exploraci¨®n completa del equipo.

Step 2

Explorar el equipo con su producto de live casino online para eliminar los archivos detectados como PERL_SHELBOT.SMM En caso de que el producto de live casino online ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no ser¨¢n necesarios m¨¢s pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta para obtener m¨¢s informaci¨®n.


Rellene nuestra encuesta!