Weboldalakat elérhetetlenné, információlopkodó féreg

A féreg paraméterei

Felfedezésének ideje: 2004. november 8.
Utolsó frissítés ideje: 2004. november 8.
Veszélyeztetett rendszerek: Windows 9x/Me/NT/2k/XP/2k3
Nem érintett rendszerek: Windows 3.x, Microsoft IIS, Macintosh, UNIX, Linux, OS/2
Mérete: 103.832 byte
Fertőzések száma: 0-49
Földrajzi elterjedtsége: alacsony
Károkozás mértéke: kicsi
Eltávolítása: közepesen nehéz

Aktiválódása esetén lezajló események

– létrehozza önmaga másolatát a System mappában bcvsrv32.exe névvel
– hozzáadja a Bcvsrv32=bcvsrv32.exe bejegyzést az alábbi Registry kulcsokhoz:
. HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run
. HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/RunServices
– egy előre meghatározott IRC-szerverhez csatlakozik a 7000-es TCP porton keresztül, majd alkotójától érkező parancsokra (file-ok letöltése és futtatása, hálózat átvizsgálása, processek, service-ok indítása, leállítása stb.) várakozik
– a rendszeren megnyit három, véletlenszerűen kiválasztott TCP portot
– megkísérel további PC-ket is megfertőzni ismertebb fenyegetések által kinyitott hátsó kapuk igénybevételével, illetve az alábbi (patch-csel már régóta bíró) sérülékenységek kihasználásával:
. Windows Workstation Service Remote Buffer Overflow
. WebDAV Buffer Overflow
. UPnP NOTIFY Buffer Overflow
. SQL Server User Authentication Remote Buffer Overflow
– a biztonsági állításokat lazábbra állítja és a drivers mappában található hosts állományban számos website URL-je mellé a local loopback címét (127.0.0.1) rögzíti, így akadályozva meg például az antivírus szoftverek frissítését
– HTTP get kérelmeket intéz a 80-as TCP porton különböző webcímek felé, így mérve fel a megfertőzött számítógép Internet-hozzáférésének sebességét
– számos PC-s játék CD-kulcsát el tudja lopni; ezzel meg is próbálkozik, ha egy általa ismert program fel van telepítve az adott számítógépre
– képes leállítani a rendszerre telepített behatolásvédelmi szoftverek futó process-eit