PCの修理が必要ですか?
専門家に頼む
ウイルスTR/Ramnit.A.22
発見日:01/11/2010
タイプトロイの木馬
感染報告有りはい
感染報告低~中
感染の可能性中~高
ダメージ・ポテンシャル
スタティック・ファイルはい
ファイル・サイズ51.200 バイト
MD5 チェックサムb8639c44126fb50de80354b95fad0153
VDFファージョン:7.10.06.22
IVDFファージョン:7.10.13.76 - 2010年11月1日月曜日

 一般情報 感染方法
   • 自動実行機能
   • ファイルに感染


別名
   •  Kaspersky: Backdoor.Win32.IRCNite.bwx
   •  Sophos: Troj/Zbot-ADH
   •  Bitdefender: Trojan.Generic.5029516
   •  Panda W32/Ramnit.B.drp
   •  GData: Trojan.Generic.5029516


プラットフォーム/OS:
   • Windows 2000
   • Windows XP
   • Windows 2003


副作用
   • 悪意ファイルを作成します。
   • ファイルに感染
   • レジストリの改変。

 ファイル それ自体を以下の場所にコピーします。
   • %ドライバ% \RECYCLER\svchost.exe
   • %PROGRAM FILES%\Microsoft\WaterMark.exe



以下のファイルが作成されます:

%ドライバ% \autorun.inf これは以下の内容を含む、悪意のないテキスト・ファイルです:
   • %マルウェアを実行するコード%

%SYSDIR%\dmlconf.dat



以下のファイルを起動しようとします:

– 以下のファイルのうちのどれかを起動しようとします:
   • %PROGRAM FILES%\Microsoft\WaterMark.exe


– 以下のファイルのうちのどれかを起動しようとします:
   • %SYSDIR%\svchost.exe

 レジストリ 以下のレジストリ・キーは変更されます:

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
   新しい値
   • "Userinit"="%SYSDIR%\userinit.exe,,%PROGRAM FILES%\microsoft\watermark.exe"

 ファイル感染 感染マルウェアの種類 :

末尾付加 - 感染ファイルの末尾部分にウイルスのメイン コードが付加されます。
– 次のセクションが感染ファイルに追加されます :
   • .rmnet


ステルス:
検出を回避する手法は使用されません。 感染ファイルの OEP (オリジナル エントリ ポイント) 値が、ウイルス コードを指すように改変されます。


メソッド:

このダイレクト・アクション型感染者は、活発にファイルを検索します。


次のファイルに感染 :

ファイル タイプ :
   • exe (+52736) -> W32/Ramnit.A
   • dll (+52736) -> W32/Ramnit.A
   • html (+102882) -> HTML/Drop.Agent.AB

 バックドア サーバに接続します。
以下のもの:
   • zah**********.name:443 (TCP)
   • tyb**********.com:443 (TCP)


 挿入(Injection) – プロセスにリモートスレッドとして挿入します。

    プロセス名:|以下のすべて:
   • svchost.exe


 その他  インターネット接続環境を調べるため、以下のウェブサイトに接続しようとします:
   • google.com:80
   • bing.com:80
   • yahoo.com:80

説明の挿入者 Petre Galan の 2011年4月11日月曜日
説明の更新者 Petre Galan の 2011年4月11日月曜日

戻る . . . .
https:// このウィンドウは暗号化されています。