Backdoor.IRCBot (также широко известен как SDBot) - это семейство вредоносных программ удаленного администрирования типа backdoor (т.е. позволяющие без ведома пользователя удаленно управлять его компьютером). Администратирование осуществляется посредством соединения с IRC-сервером и получением через каналы IRC команд удаленного управления от злоумышленника. Распространяется преимущественно через уязвимости операционной системы (т.к. имеет возможность сканировать сеть в поисках других компьютеров, подверженных наиболее распространенным уязвимостям Windows) и по локальной сети, посредством копирования себя в сетевые ресурсы общего доступа.

Используются следующие уязвимости:

• Microsoft Windows Server Service Vulnerability (MS06-040)
  
• Microsoft Windows Plug and Play Service Vulnerability (MS05-039)
  
• LSASS Vulnerability (MS04-011)
  
• ASN.1 Vulnerability (MS04-007)
  
• Buffer Overrun in Messenger Service (MS03-043)
  
• Buffer Overrun In RPCSS Service (MS03-039)
  
• Buffer Overrun In RPC Interface (MS03-026)

Помимо несанкционированного подключения вредоносная программа в зависимости от своей модификации обладает способностью:

• загружать на зараженный компьютер различные файлы и запускать их;
• редактировать реестр (делает изменения, снижающие уровень настроек безопасности);
• отправлять электронную почту
• самостоятельно обновляться
• считывать, собирать и похищать системную информацию (передача происходит с помощью HTTP GET запроса CGI скрипта);
• завершать некоторые процессы и системные службы (Security Center, Windows Firewall/ICS, Telnet и др.);
• открывать TCP- и UDP-порты;
• перехватывать пакеты ICMP, FTP, IRC;
• создавать SYN- и ICMP-флуд, совершать DoS-атаки;
• проверять активность программы SoftIce (из-за соображений антиотладки);

На данный момент модификаций этого вируса существует уже порядка нескольких сотен. Поэтому перечисление всех возможных названий создаваемых файлов требует слишком огромных масштабов. Но преимущественно вирусом используются имена близко напоминающие системные файлы.

Примеры заражения из логов HijackThis:

O4 - HKLM\..\Run: [Compaq32 Service Drivers] msconfig32.exe
O4 - HKLM\..\Run: [Configuration Loader] syscfg32.exe
O4 - HKLM\..\Run: [msvcc25] svcchost.exe
O4 - HKLM\..\RunServices: [msvcc25] svcchost.exe
O4 - HKLM\..\Run: [mysvcig38] mysvcc.exe
O4 - HKLM\..\RunServices: [mysvcig38] mysvcc.exe
O4 - HKLM\..\Run: [File System] taskmqr.exe
O4 - HKLM\..\Run: [msconfig38] mssvcc.exe
O4 - HKLM\..\Run: [Microsoft] iexplorer.exe
O4 - HKLM\..\Run: [Microsoft Windows Startup] explorer.exe
O4 - HKLM\..\Run: [Update Checker] winlog.exe
O4 - HKLM\..\Run: [Windows Update] C:\WINDOWS\scvhost.exe
O4 - HKLM\..\Run: [IEUpdate] ieupdate.exe
O4 - HKLM\..\Run: [Windows Services] spoolsvc.exe
O4 - HKLM\..\Run: [wmplayer] C:\WINDOWS\lsrvc.exe
O4 - HKLM\..\Run: [Local Security Authority Service] C:\WINDOWS\system32\lssas.exe
O4 - HKLM\..\Run: [Microsoft Configoration Service] msconfigs.exe
O4 - HKLM\..\Run: [Microsoft Nvidia Video] nvidia.exe
O4 - HKLM\..\Run: [CRCSS] crcss.exe
O4 - HKLM\..\Run: [CRSSXP SysInfo] crssxp.exe
O4 - HKLM\..\Run: [DELXP Protocol] delxp.exe
O4 - HKLM\..\Run: [DRan posessor] DAP.exe
O4 - HKLM\..\Run: [Microsoft Windows DLL Services Configuration] dllmanager32.exe
O4 - HKCU\..\Run: [sysupdate] c:\windows\system32\cmman32.exe
O4 - HKLM\..\Run: [Sygate Personal Block] Studio.exe
O4 - HKLM\..\Run: [SoundMax Audio Drivers] SndMAX.exe
O4 - HKLM\..\Run: [Services] C:\WINDOWS\Services.exe

Детектирование антивирусами:

Также все желающие просмотреть полный список модификаций SDBot, которые распознаются и удаляются данной утилитой, могут сделать это, распаковав архив программы (файл SDFix_ReadMe.htm), либо открыв страничку создателя.
Эта база обновляется регулярно, по мере обнаружения новых видов вредоносных программ.

Непосредственно само лечение компьютера с помощью SDFix:

1. Скачиваем SDFix
   Открываем и запускаем SDFix.exe (это самораспаковывающийся архив)
   В системном каталоге будет создана папка SDFix:
   

   C:\SDFix

2. Теперь необходимо перезагрузить компьютер в безопасный режим (Safe Mode)
   

   При появлении меню загрузки Windows нужно нажать клавишу F8 - на экране появится меню дополнительных режимов загрузки. Передвигаемся с помощью клавиш вверх/вниз и, остановившись на надписи Safe Mode, нажимаем ENTER.

3. Открываем папку SDFix и запускаем файл RunThis.bat
   Пишем букву 'Y' и нажимаем на ENTER.
   Начнется удаление компонентов вредоносной программы и восстановление системных настроек в реестре.
   Когда эта процедура будет закончена, SDFix попросить вас нажать любую клавишу для того, чтобы перезагрузить ваш компьютер - нажимаем
   
   
4. После перезагрузки процедура удаления снова ненадолго продолжится
   Ждем, пока появится надпись 'Finished' и затем нажимаем на любую клавишу для того, чтобы загрузить иконки на рабочем столе (до этого он будет пустой - это нормально, поэтому не пугаемся)
   Когда рабочий стол будет загружен, вы увидите лог SDFix (который также будет сохранен в его папке с названием Report.txt), где будут описаны все сделанные им действия

Автор: Saule
2007