Worm/NetSky.B.1 - Worm

参照

概要

詳しい説明

統計

ウイルス	Worm/NetSky.B.1
発見日：	18/02/2004
タイプ	ワーム
感染報告有り	はい
感染報告	中
感染の可能性	中～高
ダメージ・ポテンシャル	低
スタティック・ファイル	はい
ファイル・サイズ	22.016 バイト
MD5　チェックサム	D4A3677976B656AEC6AFCF2E03459A8D
VDFファージョン：	6.24.0.9

一般情報 感染方法
   • Eメール
   • P2P(ピアツーピア)

別名
   • Symantec(シマンテック) W32.Netsky.B@mm
   • McAfee(マカフィー) W32/Netsky.b@MM
   • Kaspersky(カスペルスキー) Email-Worm.Win32.NetSky.b
   • TrendMicro(トレンドマイクロ） WORM_NETSKY.B
   • F-Secure(エフ・セキュア) W32/Netsky.B@mm
   • Grisoft I-Worm/Netsky.B
   • ウイルスバスター I-Worm/Netsky.B
   • ビットディフェンダー(Bitdefender)： Win32.Netsky.B@mm

プラットフォーム/OS：
   • ウインドウズ 95
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • 悪意ファイルを作成します。
   • それ自身のメール・エンジンを利用します。
   • レジストリの改変。

起動後以下の情報が表示されます：

ファイルそれ自体を以下の場所にコピーします。
   • %WINDIR%\services.exe

以下の場所にあるアーカイブ内にそれ自身をコピーします：
   • %WINDIR%\misc.zip
   • %WINDIR%\party.zip
   • %WINDIR%\disco.zip
   • %WINDIR%\part2.zip
   • %WINDIR%\mail2.zip
   • %WINDIR%\object.zip
   • %WINDIR%\ranking.zip
   • %WINDIR%\dinner.zip
   • %WINDIR%\release.zip
   • %WINDIR%\final.zip
   • %WINDIR%\location.zip
   • %WINDIR%\jokes.zip
   • %WINDIR%\friend.zip
   • %WINDIR%\website.zip
   • %WINDIR%\mails.zip
   • %WINDIR%\story.zip
   • %WINDIR%\found.zip
   • %WINDIR%\nomoney.zip
   • %WINDIR%\aboutyou.zip
   • %WINDIR%\shower.zip
   • %WINDIR%\topseller.zip
   • %WINDIR%\product.zip
   • %WINDIR%\swimmingpool.zip
   • %WINDIR%\bill.zip
   • %WINDIR%\note.zip
   • %WINDIR%\concert.zip
   • %WINDIR%\textfile.zip
   • %WINDIR%\posting.zip
   • %WINDIR%\stuff.zip
   • %WINDIR%\attachment.zip
   • %WINDIR%\details.zip
   • %WINDIR%\creditcard.zip
   • %WINDIR%\message.zip
   • %WINDIR%\talk.zip
   • %WINDIR%\doc.zip
   • %WINDIR%\msg.zip
   • %WINDIR%\document.zip
   • %WINDIR%\unknown.zip
   • %WINDIR%\fake.zip
   • %WINDIR%\stolen.zip
   • %WINDIR%\information.zip
   • %WINDIR%\warning.zip

レジストリ以下のレジストリ・キーは、再起動後にそのプロセスを実行するために追加されたものです：

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "service"="%WINDIR%\services.exe -serv"

以下のレジストリ・キーの値が消えています：

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • Taskmon
   • system
   • KasperskyAv
   • Explorer

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
   • system

– [HKCR\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}]
   • InProcServer32

– [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • Taskmon
   • Explorer

Eメールそれはメールを送るためSMTPエンジンが搭載されています。送り先のサーバとの直接接続が構築されます。特徴は以下の通りです：

送信者
送信者のアドレスは改変されています(spoof)。

宛先:
– システム内のあるファイルにあるメールアドレス

件名
以下のもの：
   • unknown
   • fake
   • stolen
   • information
   • warning
   • something for you
   • read it immediately
   • hello
   • hi

本文
メールの本文は以下の通りです：
   • something is fool
   • something is going wrong
   • you are bad
   • you try to steal
   • you feel the same
   • you earn money
   • thats wrong
   • why?
   • take it easy
   • reply
   • do you?
   • that's funny
   • here, the cheats
   • here, the introduction
   • here, the serials
   • from the chatter
   • about me
   • information about you
   • something is going wrong!
   • stuff about you?
   • greetings
   • see you
   • here it is
   • that is bad
   • yes, really?
   • i found this document about you
   • your name is wrong
   • i hope it is not true!
   • kill the writer of this document!
   • something about you!
   • I have your password!
   • you are a bad writer
   • is that from you?
   • i wait for a reply!
   • is that your account?
   • is that your name?
   • is that true?
   • here
   • my hero
   • read it immediately!
   • here is the document.
   • read the details.
   • i'm waiting
   • what does it mean?
   • anything ok?

添付ファイル
添付ファイルの名前は以下のものから構成されています：

– 以下のうちのどれかで始まります：
   • aboutyou
   • attachment
   • bill
   • concert
   • creditcard
   • details
   • dinner
   • disco
   • doc
   • document
   • final
   • found
   • friend
   • information
   • jokes
   • location
   • mail2
   • mails
   • me
   • message
   • misc
   • msg
   • nomoney
   • note
   • object
   • part2
   • party
   • posting
   • product
   • ps
   • ranking
   • release
   • shower
   • story
   • stuff
   • swimmingpool
   • talk
   • textfile
   • topseller
   • website

    その後に以下の偽の拡張子のうちのどれかが続くことがあります：
   • .doc
   • .htm
   • .rtf
   • .txt

    ファイル拡張子は以下のうちのどれかです：
   • .com
   • .exe
   • .pif
   • .scr
   • .zip

これは添付ファイルの名前がどのようなものであるかの例です：
   • posting.txt.com
   • concert.zip
   • creditcard.pif

添付ファイルは、マルウェア自身のコピーです。

メールは以下のうちのどれかであることもあります：

送信 アドレスの検索：
以下のファイルからメールアドレスを検索します：
   • .msg; .oft; .sht; .dbx; .tbb; .adb; .doc; .wab; .asp; .uin; .rtf;
      .vbs; .html; .htm; .pl; .php; .txt; .eml

MXサーバ
標準MXの利用を要求して失敗すると、以下のことを試みます：
MXサーバにつなげる能力があります。
   • 217.5.100.1

P2P P2P(ピアツーピア)ネットワーク内の他のシステムに感染するため、以下のアクションを実行します：

–   以下のサブストリング(substring)を含むディレクトリを検索します：
   • "share"
   • "sharing"

   成功すると、以下のファイルが作成されます：
   • doom2.doc.pif; sex sex sex sex.doc.exe; rfc compilation.doc.exe;
      dictionary.doc.exe; win longhorn.doc.exe; e.book.doc.exe; programming
      basics.doc.exe; how to hack.doc.exe; max payne 2.crack.exe;
      e-book.archive.doc.exe; virii.scr; nero.7.exe; eminem - lick my
      pussy.mp3.pif; cool screensaver.scr; serial.txt.exe; office_crack.exe;
      hardcore porn.jpg.exe; angels.pif; porno.scr; matrix.scr; photoshop 9
      crack.exe; strippoker.exe; dolly_buster.jpg.pif; winxp_crack.exe

その他 Mutex(ミューテック)
以下のMutex(ミューテック）を作成します：
• AdmSkynetJklS003

ファイルの詳細 プログラム言語:
このマルウェアプログラムはMS Visual C++で書かれています。

ランタイム・パッカー
検出されにくくするため、またファイルのサイズを縮小するため、以下のランタイム・パッカーで圧縮してあります。
• UPX

簡単な説明はココにあります。.

この説明は Andrei Gherman によって Mon, 29 Aug 2005 13:57 (GMT+1) 書き込まれました。
この説明は Andrei Gherman によって Wed, 31 Aug 2005 10:39 (GMT+1) 更新されました。

» マルウェアについて
» フィッシングについて
» In the Wild ウイルス

« 戻る