Worm/Arduk.G - Worm

参照

概要

詳しい説明

統計

ウイルス	Worm/Arduk.G
発見日：	15/07/2005
タイプ	ワーム
感染報告有り	はい
感染報告	低
感染の可能性	低～中
ダメージ・ポテンシャル	低～中
スタティック・ファイル	はい
ファイル・サイズ	13.312 バイト
MD5　チェックサム	383a48fe9d8e8d8ba3240756d686c696
VDFファージョン：	6.25.0.18

一般情報 感染方法
   • Eメール

別名
   • Symantec(シマンテック) W32.Adurk@mm
   • McAfee(マカフィー) W32/Ardurk.gen@MM
   • Kaspersky(カスペルスキー) Email-Worm.Win32.Ardurk.g
   • TrendMicro(トレンドマイクロ） WORM_ADURK.A
   • Sophos(ソフォス) W32/Ardurk-G
   • ウイルスバスター I-Worm.Ardurk.G

プラットフォーム/OS：
   • ウインドウズ 95
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • 悪意ファイルを作成します。
   • それ自身のメール・エンジンを利用します。
   • レジストリの改変。
   • サード・パーティ・コントロール

起動後以下の情報が表示されます：

ファイルそれ自体を以下の場所にコピーします。
   • %SYSDIR%\%実行ファイル%.exe

それ自身のコピーを、表の中のファイル名を使って作成します。
以下の名前のうちのどれかを利用します：
   • %すべての *.htm ファイル% .exe

ファイルにセクションが追加されます。
– 宛先: %すべての *.htm ファイル% .exe 以下の内容：
   • <OBJECT type="application/x-oleobject"CLASSID="%作成された CLSID%"></OBJECT><!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN">

レジストリ以下のレジストリ・キーは、再起動後にそのプロセスを実行するために追加されたものです：

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "Namesd"="%実行ファイル%.exe"

以下のレジストリ・キーは、再起動後にそのサービスを読み込むために追加されたものです：

– [HKLM\SYSTEM\CurrentControlSet\Services\
   %実行ファイル%.exe]
   • "Type"=dword:00000110
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000000
   • "DisplayName"="%実行ファイル%.exe"
   • "ObjectName"="LocalSystem"
   • "ImagePath"="%SYSDIR%\%実行ファイル%.exe "

– [HKLM\SYSTEM\CurrentControlSet\Services\
   %実行ファイル%.exe\Enum]
   • "0"="Root\\LEGACY_%実行ファイル%.EXE\\0000"
   • "Count"=dword:00000001
   • "NextInstance"=dword:00000001

– [HKLM\SYSTEM\CurrentControlSet\Services\
   %実行ファイル%.exe\Security]
   • Security"=hex:01,00,14,80,90,00,00,00,9c,00,00,00,14,00,00,00,30,00,00,00,02,\
      00,1c,00,01,00,00,00,02,80,14,00,ff,01,0f,00,01,01,00,00,00,00,00,01,00,00,\
      00,00,02,00,60,00,04,00,00,00,00,00,14,00,fd,01,02,00,01,01,00,00,00,00,00,\
      05,12,00,00,00,00,00,18,00,ff,01,0f,00,01,02,00,00,00,00,00,05,20,00,00,00,\
      20,02,00,00,00,00,14,00,8d,01,02,00,01,01,00,00,00,00,00,05,0b,00,00,00,00,\
      00,18,00,fd,01,02,00,01,02,00,00,00,00,00,05,20,00,00,00,23,02,00,00,01,01,\
      00,00,00,00,00,05,12,00,00,00,01,01,00,00,00,00,00,05,12,00,00,00

以下のレジストリ・キーが追加されます：

– HKLM\SYSTEM\CurrentControlSet\Enum\Root\
   LEGACY_%実行ファイル%.EXE]
   • "NextInstance"=dword:00000001

– HKLM\SYSTEM\CurrentControlSet\Enum\Root\
   LEGACY_%実行ファイル%.EXE\0000]
   • "Service"="%実行ファイル%.exe"
   • "Legacy"=dword:00000001
   • "ConfigFlags"=dword:00000000
   • "Class"="LegacyDriver"
   • "ClassGUID"="{8ECC055D-047F-11D1-A537-0000F8753ED1}"
   • "DeviceDesc"="%実行ファイル%.exe"

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\
   LEGACY_%実行ファイル%.EXE\0000\Control]
   • "*NewlyCreated*"=dword:00000000
   • "ActiveService"="%実行ファイル%.exe"

– HKCR\CLSID\{%作成された CLSID%}\LocalServer32]
   • @="%実行されたマルウェアのディレクトリ%\\%実行ファイル%.exe"

– [HKCR\CLSID\{%作成された CLSID%}]
   • @="%すべての *.htm ファイル% .exe"

– [HKCR\CLSID\{%作成された CLSID%}\LocalServer32]
   • @="%実行されたマルウェアのディレクトリ%\\%すべての *.htm ファイル% .exe"

以下のレジストリ・キーは変更されます：

– [HKLM\SYSTEM\ControlSet001\Control\ServiceCurrent]
   前の値
   • @=dword:0000000a
   新しい値
   • @=dword:0000000d

– [HKLM\SYSTEM\CurrentControlSet\Services\lanmanserver\Shares]
   前の値
   • "C"=hex(7):43,00,53,00,43,00,46,00,6c,00,61,00,67,00,73,00,3d,00,30,00,00,00,\
      4d,00,61,00,78,00,55,00,73,00,65,00,73,00,3d,00,34,00,32,00,39,00,34,00,39,\
      00,36,00,37,00,32,00,39,00,35,00,00,00,50,00,61,00,74,00,68,00,3d,00,43,00,\
      3a,00,5c,00,00,00,50,00,65,00,72,00,6d,00,69,00,73,00,73,00,69,00,6f,00,6e,\
      00,73,00,3d,00,30,00,00,00,52,00,65,00,6d,00,61,00,72,00,6b,00,3d,00,00,00,\
      54,00,79,00,70,00,65,00,3d,00,30,00,00,00,00,00
   新しい値
   • "C"=hex(7):43,00,53,00,43,00,46,00,6c,00,61,00,67,00,73,00,3d,00,30,00,00,00,\
      4d,00,61,00,78,00,55,00,73,00,65,00,73,00,3d,00,34,00,32,00,39,00,34,00,39,\
      00,36,00,37,00,32,00,39,00,35,00,00,00,50,00,61,00,74,00,68,00,3d,00,43,00,\
      3a,00,5c,00,00,00,50,00,65,00,72,00,6d,00,69,00,73,00,73,00,69,00,6f,00,6e,\
      00,73,00,3d,00,30,00,00,00,52,00,65,00,6d,00,61,00,72,00,6b,00,3d,00,00,00,\
      54,00,79,00,70,00,65,00,3d,00,30,00,00,00,00,00
     "d"=hex(7):43,00,53,00,43,00,46,00,6c,00,61,00,67,00,73,00,3d,00,30,00,00,00,\
      4d,00,61,00,78,00,55,00,73,00,65,00,73,00,3d,00,34,00,32,00,39,00,34,00,39,\
      00,36,00,37,00,32,00,39,00,35,00,00,00,50,00,61,00,74,00,68,00,3d,00,64,00,\
      3a,00,5c,00,00,00,50,00,65,00,72,00,6d,00,69,00,73,00,73,00,69,00,6f,00,6e,\
      00,73,00,3d,00,30,00,00,00,52,00,65,00,6d,00,61,00,72,00,6b,00,3d,00,64,00,\
      00,00,54,00,79,00,70,00,65,00,3d,00,30,00,00,00,00,00
     "e"=hex(7):43,00,53,00,43,00,46,00,6c,00,61,00,67,00,73,00,3d,00,30,00,00,00,\
      4d,00,61,00,78,00,55,00,73,00,65,00,73,00,3d,00,34,00,32,00,39,00,34,00,39,\
      00,36,00,37,00,32,00,39,00,35,00,00,00,50,00,61,00,74,00,68,00,3d,00,65,00,\
      3a,00,5c,00,00,00,50,00,65,00,72,00,6d,00,69,00,73,00,73,00,69,00,6f,00,6e,\
      00,73,00,3d,00,30,00,00,00,52,00,65,00,6d,00,61,00,72,00,6b,00,3d,00,65,00,\
      00,00,54,00,79,00,70,00,65,00,3d,00,30,00,00,00,00,00

Eメールそれはメールを送るためSMTPエンジンが搭載されています。送り先のサーバとの直接接続が構築されます。特徴は以下の通りです：

送信者
送信者のアドレスは改変されています(spoof)。

宛先:
– システム内のあるファイルにあるメールアドレス

件名
以下のもの：
   • CARTOON %3桁のランダムな文字列%

本文
– HTMLコードを含みます。
– 他のマルウェアへのリンクを含みます。

メールの本文は以下の通りです：

   • CARTOON %3桁のランダムな文字列%
     The
     1 Site for: Cartoons, Hentai & Anime HORNY LITTLE TOONS
     EXCLUSIVE HENTAI CONTENT
     EROTIC ANIME MOVIES
     NEVER SEEN BEFORE CARTOON SLUTS
     JAPANESE MANGA TOONS

     ENTER CARTOON %3桁のランダムな文字列% HERE!!

     To unsubscribe click here "http://**********.net/remove/remove.php"


添付ファイル
添付ファイルの名前は以下のものから構成されています：

– 以下のうちのどれかで始まります：
   • CARTOON_

以下のうちのどれかが続きます：
   • %3桁のランダムな文字列%

    ファイル拡張子は以下のうちのどれかです：
   • .exe

これは添付ファイルの名前がどのようなものであるかの例です：
   • CARTOON_222.exe
   • CARTOON_021.exe

メールは以下のようなものです：

送信 アドレスの検索：
以下のファイルからメールアドレスを検索します：
• HTM

その他 Mutex(ミューテック)
以下のMutex(ミューテック）を作成します：
   • _NextPart_%03d_%04X_%08.8lX.%08.8lX

ネットワークシェア
以下のネットワークシェアが作成されます：
   • C:\
   • D:\

簡単な説明はココにあります。.

この説明は Catalin Jora によって Wed, 03 Aug 2005 14:42 (GMT+1) 書き込まれました。
この説明は Catalin Jora によって Fri, 19 Aug 2005 15:51 (GMT+1) 更新されました。

» About Malware
» About Phishing
» Viruses In the Wild

« back