DR/IRCBot.8184.B - Dropper

参照

概要

詳しい説明

統計

ウイルス	DR/IRCBot.8184.B
発見日：	19/08/2005
タイプ	Dropper (ドロッパー型)
感染報告有り	いいえ
感染報告	低
感染の可能性	中
ダメージ・ポテンシャル	低～中
スタティック・ファイル	はい
ファイル・サイズ	8.219 バイト
MD5　チェックサム	84f9161a7580ca8ae571c41230eaa77d
VDFファージョン：	6.31.1.134

一般情報 感染方法
   • ローカル・ネットワーク

別名
   • Symantec(シマンテック) W32.Esbot.B
   • McAfee(マカフィー) W32/Sdbot.worm.gen.by
   • Kaspersky(カスペルスキー) Backdoor.Win32.IRCBot.ex
   • TrendMicro(トレンドマイクロ） WORM_ESBOT.C
   • F-Secure(エフ・セキュア) W32/Ircbot.S
   • ビットディフェンダー(Bitdefender)： Win32.Worm.EsBot.B

プラットフォーム/OS：
   • ウインドウズ 95
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP

副作用
   • 悪意ファイルをダウンロードします。
   • レジストリの改変。
   • ソフトの脆弱性を利用します。
   • サード・パーティ・コントロール

ファイルそれ自体を以下の場所にコピーします。
• %SYSDIR%\wpa.exe

最初に実行したコピーの方を削除します。

以下のファイルが作成されます：

– %SYSDIR%\wpa.dbl
– %WINDIR%\debug\dcpromo.log

ファイルをダウンロードしようとします：

– 場所は以下の通りです：
• http://**********.com/p5.jpg
ハードディスクの以下のパスにセーヴされます： %temporary internet files%\p5.jpg ダウンロードが終了した後、起動されます。詳しい調査の結果、このファイルもマルウェアであることが判明しました。

レジストリ以下のレジストリ・キーは、再起動後にそのサービスを読み込むために追加されたものです：

– [HKLM\system\currentcontrolset\services\wpa]
   • "Type"=dword:00000110
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000000
   • "DisplayName"="Windows Product Activation"
   • "ObjectName"="LocalSystem"

– [HKLM\system\currentcontrolset\enum\root\legacy_wpa]
   • "NextInstance"=dword:00000001

– [HKLM\system\currentcontrolset\enum\root\legacy_wpa\0000]
   • "Service"="wpa"
   • "Legacy"=dword:00000001
   • "ConfigFlags"=dword:00000000
   • "Class"="LegacyDriver"
   • "ClassGUID"="{8ECC055D-047F-11D1-A537-0000F8753ED1}"
   • "DeviceDesc"="Windows Product Activation"

– [HKLM\system\currentcontrolset\enum\root\legacy_wpa\0000\Control]
   • "*NewlyCreated*"=dword:00000000
   • "ActiveService"="wpa"

– [HKLM\system\currentcontrolset\services\wpa]
   • "ImagePath"="%SYSDIR%\wpa.exe"

– [HKLM\system\currentcontrolset\services\wpa\Security]
   • "Security"=hex:01,00,14,80,90,00,00,00,9c,00,00,00,14,00,00,00,30,00,00,00,02,\
      00,1c,00,01,00,00,00,02,80,14,00,ff,01,0f,00,01,01,00,00,00,00,00,01,00,00,\
      00,00,02,00,60,00,04,00,00,00,00,00,14,00,fd,01,02,00,01,01,00,00,00,00,00,\
      05,12,00,00,00,00,00,18,00,ff,01,0f,00,01,02,00,00,00,00,00,05,20,00,00,00,\
      20,02,00,00,00,00,14,00,8d,01,02,00,01,01,00,00,00,00,00,05,0b,00,00,00,00,\
      00,18,00,fd,01,02,00,01,02,00,00,00,00,00,05,20,00,00,00,23,02,00,00,01,01,\
      00,00,00,00,00,05,12,00,00,00,01,01,00,00,00,00,00,05,12,00,00,00

– [HKLM\system\currentcontrolset\services\wpa]
   • "FailureActions"=hex:00,00,00,00,00,00,00,00,00,00,00,00,01,00,00,00,00,00,00,\
      00,01,00,00,00,00,00,00,00

– [HKLM\system\currentcontrolset\services\wpa]
   • "Description"="Windows Product Activation is an anti-piracy technology designed to verify that software products have been legitimately licensed."

以下のレジストリ・キーは変更されます：

– [HKLM\system\controlset001\control\servicecurrent]
   前の値
   • @=dword:%ユーザ設定%
   新しい値
   • @=dword:0000000e

– [HKLM\software\microsoft\ole]
   前の値
   • "EnableDCOM"="%ユーザ設定%"
   新しい値
   • "EnableDCOM"="n"

ネットワーク感染感染を確かなものにするために、マルウェアは以下のように他のマシンに接続しようとします。

エクスプロイト(Exploit)
以下のエクスプロイト(Exploit)を利用します：
– MS05-039 (プラグ・アンド・プレイの脆弱性)

IPアドレス作成
ランダムなIPアドレスを作り、それらと接続しようとします。

IRC システム情報を報告し、リモートコントロールを可能にするために以下のIRCサーバに接続します：

サーバ 68.194.76.**********
ポート： 18067
チャンネル #p4
ニックネーム p4-%ランダムな文字列%
パスワード u79duhhk

– その他以下のアクションを実行することもできます：
• ダウンロード・ファイル
• 実行ファイル

ファイルの詳細 ランタイム・パッカー
検出されにくくするため、またファイルのサイズを縮小するため、以下のランタイム・パッカーで圧縮してあります。
• UPX

簡単な説明はココにあります。.

この説明は Sergiu Oprea によって Mon, 22 Aug 2005 10:26 (GMT+1) 書き込まれました。
この説明は Sergiu Oprea によって Tue, 30 Aug 2005 12:36 (GMT+1) 更新されました。

» About Malware
» About Phishing
» Viruses In the Wild

« back