Worm/IRCBot.AZ.58 - Worm

参照

概要

詳しい説明

統計

ウイルス	Worm/IRCBot.AZ.58
発見日：	06/09/2005
タイプ	ワーム
感染報告有り	いいえ
感染報告	低
感染の可能性	中
ダメージ・ポテンシャル	中
スタティック・ファイル	はい
ファイル・サイズ	110.181 バイト
MD5　チェックサム	4c6f497013fa84ddae063c3915c3bf62
VDFファージョン：	6.31.0.220

一般情報 感染方法
   • ローカル・ネットワーク
   • 割り当てられたネットワーク・ドライブ

別名
   • Symantec(シマンテック) W32.Spybot.Worm
   • McAfee(マカフィー) W32/Pate.dr
   • Kaspersky(カスペルスキー) Backdoor.Win32.IRCBot.az
   • TrendMicro(トレンドマイクロ） BKDR_IRCBOT.AL
   • F-Secure(エフ・セキュア) W32/Sdbot.LEZ
   • ウイルスバスター Worm.RBot.CAC
   • ビットディフェンダー(Bitdefender)： Backdoor.SDBot.358ABA45

プラットフォーム/OS：
   • ウインドウズ 95
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ 2000
   • ウインドウズ XP

副作用
   • それ自身のメール・エンジンを利用します。
   • 文字入力を記録します。
   • レジストリの改変。
   • ソフトの脆弱性を利用します。
   • 情報を盗みます。
   • サード・パーティ・コントロール

ファイルそれ自体を以下の場所にコピーします。
• %SYSDIR%\tesakrmger.exe

最初に実行したコピーの方を削除します。

レジストリ以下のレジストリ・キーは、再起動後にそのプロセスを実行するために追加されたものです：

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • "Windeows NetStart Service2"="tesakrmger.exe"

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
   • "Windeows NetStart Service2"="tesakrmger.exe"

以下のレジストリ・キーが追加されます：

– HKCU\Software\Microsoft\OLE
   • "Windeows NetStart Service2"="tesakrmger.exe

ネットワーク感染感染を確かなものにするために、マルウェアは以下のように他のマシンに接続しようとします。

以下のネットワーク・シェアにそれ自身のコピーを作成します：
   • IPC$
   • Admin$\system32
   • c$\winnt\system32
   • c$\windows\system32

リモート・マシンへのアクセスを得るために、以下のログイン情報を使用します：

–キャッシュに入ったユーザ名とパスワード

– 以下のユーザ名：
   • accounting; accounts; admin; administrador; administrat;
      administrateur; administrator; admins; bill; bob; brian; chris;
      computer; database; default; eric; fred; george; guest; home;
      homeuser; ian; internet; intranet; jen; joe; john; kate; katie; lee;
      luke; mary; mike; neil; oem; oeminstall; oemuser; oracle; owner;
      peter; root; sam; staff; student; sue; susan; teacher; user; windows;
      bob; wwwadmin

– 以下のパスワード：
   • 7; 123; 1234; 2000; 2001; 2002; 2003; 2004; 12345; 123456; 1234567;
      12345678; 123456789; 1234567890; access; adm; admin; administrador;
      administrat; administrateur; administrator; admins; asd; backup;
      bitch; blank; changeme; cisco; compaq; control; data; database;
      databasepass; databasepassword; db1; db1234; db2; dbpass; dbpassword;
      default; dell; demo; domain; domainpass; domainpassword; exchange;
      fuck; god; guest; hell; hello; ibm; internet; lan; linux; login;
      loginpass; mail; main; nokia; none; null; office; oracle; orainstall;
      outlook; pass; pass1234; passwd; password; password1; pwd; qaz; qwe;
      qwerty; root; server; sex; siemens; slut; sql; sqlpassoainstall;
      system; technical; test; unix; web; win2000; win2k; win98; winnt;
      winpass; winxp; www; zxc

エクスプロイト(Exploit)
以下のエクスプロイト(Exploit)を利用します：
– MS02-061 (SQL Server Web タスクで権限が昇格する)
– MS03-026 (RPC インターフェイスのバッファオーバーランによりコードが実行される)
– MS03-039 (RPCSS サービスのバッファオーバーランによりコードが実行される (824146))
– MS03-049 (Workstation サービスのバッファオーバーランにより、コードが実行される (828749))
– MS04-011 (LSASSの脆弱性)
– MS05-039 (プラグ・アンド・プレイの脆弱性)
– バグル・バックドア(port 2745)
– Kuangバックドア(port 17300)
– マイドゥーム・バックドア(port 3127)
– ネット・デビル・バックドア(port 903)
– オプティックス・バックドア(port 3140)
– サブ・セブン・バックドア(port 27347)
– DameWareリモート管理(port 6129)

IPアドレス作成
ランダムなIPアドレスを作りますが、その最初の2つの8ビットは同じままです。その後それらと接続しようとします。

感染プロセス
リモートロケーションにマルウェアをダウンロードするため、侵入したマシンにTFTPかFTPのスクリプトを作成します。

処理速度の低下：
–感染スレッドをいくつか作成します。
– 帯域幅の大きさによって、ネットワーク速度の低下が見られるかもしれません。このマルウェアは回線の利用量が中程度のため、ブロードバンド回線を使って接続している場合、ネットワーク速度の低下に気づかないこともあります。
– さらに、ネットワーク・スレッドをいくつか作成するために起こる速度の低下に気づくかもしれません。

IRC システム情報を報告し、リモートコントロールを可能にするために以下のIRCサーバに接続します：

サーバ wiched.unstable**********.info
ポート： 6667
チャンネル #Ownerz
ニックネーム USA|%ランダムな文字列%
パスワード netown3rz

– このマルウェアは以下の情報を収集し送る能力があります：
    • キャッシュに入ったパスワード
    • スクリーンを取り込む
    • ウェブカムからショットを取り込む
    • CPU速度
    • ログインしているユーザ
    • ドライバの詳細
    • 空きディスク容量
    • 空きメモリ
    • マルウェアの起動時間
    • ネットワークについての情報
    • 起動中のプロセスについての情報
    • メモリサイズ
    • システムディレクトリ
    • ユーザーネーム
    • ウインドウズ・ディレクトリ

– その他以下のアクションを実行することもできます：
    • DDoS ICMP flood 攻撃を開始します。
    • DDoS SYN flood 攻撃を開始します。
    • DDoS TCP flood 攻撃を開始します。
    • DDoS UDP flood 攻撃を開始します。
    • DCOMを無効にする
    • ネットワークシェアを無効にする
    • ダウンロード・ファイル
    • レジストリの編集
    • DCOMを有効にする
    • ネットワークシェアを有効にする
    • 実行ファイル
    • IRCチャンネルに入室する
    • プロセスを強制終了する
    • IRCチャンネルを退室する
    • リモートシェルを開く
    • DDoS攻撃を実行する
    • ネットワーク・スキャンの実行
    • ポート転送を実行する
    • サービスの登録
    • システム再起動
    • メールを送る
    • キーログの開始
    • 伝染ルーチンの開始
    • プロセスを終了する
    • それ自身をアップデートします。
    • ウェブサイトを訪問します。

バックドア以下のポートが開かれます：

– %SYSDIR%\tesakrmger.exe TCPポートに 80 HTTPサーバを供給するため
– %SYSDIR%\tesakrmger.exe 無作為に選ばれたTCPポート上に FTPサーバを供給するため
– %SYSDIR%\tesakrmger.exe UDPポートに 69 TFTPサーバを作成するため。

窃盗以下の情報を盗もうとします：
– ウインドウズ製品のID

– 以下のCDキー：
   • Soldier of Fortune II - Double Helix; Battlefield 1942; Battlefield
      1942 (Road To Rome); Battlefield 1942 (Secret Weapons of WWII);
      Battlefield Vietnam; Black and White; Chrome; Command and Conquer:
      Generals; Command and Conquer: Generals (Zero Hour); Command and
      Conquer: Red Alert; Command and Conquer: Red Alert 2; Command and
      Conquer: Tiberian Sun; Counter-Strike (Retail)"; FIFA 2002; FIFA 2003;
      Freedom Force; Global Operations; Gunman Chronicles; Half-Life; Hidden
      & Dangerous 2; IGI 2: Covert Strike; Industry Giant 2; James Bond 007:
      Nightfire; Legends of Might and Magic; Medal of Honor: Allied Assault;
      Medal of Honor: Allied Assault: Breakthrough; Medal of Honor: Allied
      Assault: Spearhead; mtkwftmkemfew3p3b7; Nascar Racing 2002; Nascar
      Racing 2003; Need For Speed Hot Pursuit 2; Need For Speed:
      Underground; Neverwinter Nights; Neverwinter Nights (Hordes of the
      Underdark); Neverwinter Nights (Shadows of Undrentide); NHL 2002; NHL
      2003; NOX; Rainbow Six III RavenShield; Shogun: Total War: Warlord
      Edition; Soldiers Of Anarchy; The Gladiators; Unreal Tournament 2003;
      Unreal Tournament 2004

– 以下の文字列をチェックするネットワーク・スニファーを利用します。
   • :.login; :,login; :!login; :@login; :$login; :%login; :^login;
      :&login; :*login; :-login; :+login; :/login; :\login; :=login;
      :?login; :'login; :`login; :~login; : login; :.auth; :,auth; :!auth;
      :@auth; :$auth; :%auth; :^auth; :&auth; :*auth; :-auth; :+auth;
      :/auth; :\auth; :=auth; :?auth; :'auth; :`auth; :~auth; : auth; :.id;
      :,id; :!id; :@id; :$id; :%id; :^id; :&id; :*id; :-id; :+id; :/id;
      :\id; :=id; :?id; :'id; :`id; :~id; : id; :.hashin; :!hashin;
      :$hashin; :%hashin; :.secure; :!secure; :.l; :!l; :$l; :%l; :.x; :!x;
      :$x; :%x; :.syn; :!syn; :$syn; :%syn

– 以下の文字列と合致するキー入力がされると、ログインを開始します：
   • USER
   • PASS
   • paypal
   • PAYPAL
   • paypal.com
   • PAYPAL.COM

その他 Mutex(ミューテック)
以下のMutex(ミューテック）を作成します：
• mansorbetaf1le

文字列
さらに以下の文字列を含みます：
• netmaniac was here

ファイルの詳細 プログラム言語:
このマルウェアプログラムはMS Visual C++で書かれています。

ランタイム・パッカー
検出されにくくするため、またファイルのサイズを縮小するため、以下のランタイム・パッカーで圧縮してあります。
   • PE_Patch;
   • MewBundle;
   • MEW;
   • NSPack;

簡単な説明はココにあります。.

この説明は Irina Boldea によって Tue, 06 Sep 2005 14:53 (GMT+1) 書き込まれました。
この説明は Irina Boldea によって Mon, 19 Sep 2005 15:22 (GMT+1) 更新されました。

» About Malware
» About Phishing
» Viruses In the Wild

« back