Worm/Deborm.Q.1 - Worm

参照

概要

詳しい説明

統計

ウイルス	Worm/Deborm.Q.1
発見日：	08/08/2005
タイプ	ワーム
感染報告有り	いいえ
感染報告	低
感染の可能性	中
ダメージ・ポテンシャル	低～中
スタティック・ファイル	はい
ファイル・サイズ	56.320 バイト
MD5　チェックサム	82d72bbfbfbf98a60ebc2232e201b6d9
VDFファージョン：	6.19.0.13

一般情報 感染方法
   • ローカル・ネットワーク

別名
   • Symantec(シマンテック) W32.HLLW.Nebiwo
   • McAfee(マカフィー) W32/Deborm.worm
   • Kaspersky(カスペルスキー) W32/Deborm.Q
   • TrendMicro(トレンドマイクロ） WORM_DEBORM.Q
   • F-Secure(エフ・セキュア) W32/Deborm.Q
   • Sophos(ソフォス) W32/Deborm-Q
   • Panda W32/Deborm.Q
   • Grisoft TrojanDropper.Newbiwo
   • ウイルスバスター Worm.Win32.Deborm.Q1
   • ビットディフェンダー(Bitdefender)： Win32.Worm.Deborm.A

プラットフォーム/OS：
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP

ファイル以下のファイルが作成されます：

– %TEMPDIR%\~%2桁のランダムな文字列%.exe 作成が完了した後、起動されます。詳しい調査の結果、このファイルもマルウェアであることが判明しました。以下のように検出されました： BDS/Deborm.Q.3

– %TEMPDIR%\~%2桁のランダムな文字列%.exe 作成が完了した後、起動されます。詳しい調査の結果、このファイルもマルウェアであることが判明しました。以下のように検出されました： BDS/Deborm.R.3

レジストリ以下のレジストリ・キーが、再起動後そのプロセスを実行するため、無限ループの中に持続的に追加されます：

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
• "NAV Live Update"="%実行されたマルウェアのディレクトリ%\%実行ファイル%"

ネットワーク感染感染を確かなものにするために、マルウェアは以下のように他のマシンに接続しようとします。

以下のネットワーク・シェアにそれ自身のコピーを作成します：
   • %WINDIR%\Profiles\All Users\Start Menu\Programs\Startup
   • c:\windows\Start Menu\Programs\Startup
   • %ALLUSERSPROFILE%\Start Menu\Programs\Startup
   • \WINNT\Profiles\All Users\Start Menu\Programs\Startup
   • \WINDOWS\Start Menu\Programs\Startup
   • \Documents and Settings\All Users\Start Menu\Programs\Startup

リモート・マシンへのアクセスを得るために、以下のログイン情報を使用します：

– 以下のユーザ名：
   • Administrator
   • Guest
   • Owner

エクスプロイト(Exploit)
以下のエクスプロイト(Exploit)を利用します：
– MS05-039 (プラグ・アンド・プレイの脆弱性)

IPアドレス作成
ランダムなIPアドレスを作りますが、その最初の2つの8ビットは同じままです。その後それらと接続しようとします。

処理速度の低下：
– 感染スレッドを以下の数だけ作成します： 100
– 帯域幅の大きさによって、ネットワーク速度の低下に気づくかもしれません。このマルウェアは回線の利用量が大きいため、ブロードバンド回線を使って接続している場合でも、ネットワーク速度の低下がわかるでしょう。
– ネットワーク・スレッドをいくつか作成するため、感染したコンピュータは、速度が落ち、ほとんど反応しなくなります。

リモート実行：
–新しく感染したマシンに、マルウェアのリモート実行を開始しようとします。そのため、NetScheduleJobAdd機能を利用します。

ファイルの詳細 プログラム言語:
このマルウェアプログラムはMS Visual C++で書かれています。

ランタイム・パッカー
検出されにくくするため、またファイルのサイズを縮小するため、ランタイム・パッカーで圧縮してあります。

簡単な説明はココにあります。.

この説明は Victor Tone によって Mon, 08 Aug 2005 16:42 (GMT+1) 書き込まれました。
この説明は Oliver Auerbach によって Fri, 26 Aug 2005 01:22 (GMT+1) 更新されました。

» About Malware
» About Phishing
» Viruses In the Wild

« back