Worm/Goldun.A - Worm

参照

概要

詳しい説明

統計

ウイルス	Worm/Goldun.A
発見日：	12/09/2005
タイプ	ワーム
感染報告有り	はい
感染報告	低
感染の可能性	低～中
ダメージ・ポテンシャル	中
スタティック・ファイル	はい
ファイル・サイズ	20.049 バイト
MD5　チェックサム	a1f9189a474ca1b73dff4ebe05621981
VDFファージョン：	6.31.1.230

一般情報 感染方法
   • P2P(ピアツーピア)

別名
   • Kaspersky(カスペルスキー) P2P-Worm.Win32.Goldun.a
   • TrendMicro(トレンドマイクロ） WORM_GOLDUN.A
   • ビットディフェンダー(Bitdefender)： BehavesLike:Win32.ExplorerHijack

プラットフォーム/OS：
   • ウインドウズ 95
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • 悪意ファイルを作成します。
   • 文字入力を記録します。
   • レジストリの改変。
   • 情報を盗みます。

ファイル – %SYSDIR%\mcfCC4.dll 詳しい調査の結果、このファイルもマルウェアであることが判明しました。
– %SYSDIR%\mcfdrv.sys 詳しい調査の結果、このファイルもマルウェアであることが判明しました。

レジストリ以下のレジストリ・キーは、再起動後にそのプロセスを実行するために追加されたものです：

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\
   mcfCC4]
   • "DllName"="mcfCC4.dll"
   • "Startup"="mcfCC4"
   • "Impersonate"=dword:00000001
   • "Asynchronous"=dword:00000001
   • "MaxWait"=dword:00000001
   • "key4"="[117985925899296[CurrentUser]"

以下のレジストリ・キーは、再起動後にそのサービスを読み込むために追加されたものです：

– [HKLM\SYSTEM\CurrentControlSet\Services\mcfdrv]
   • "Type"=dword:00000001
   • "Start"=dword:00000001
   • "ErrorControl"=dword:00000000
   • "ImagePath"=%SYSDIR%\mcfdrv.sys
   • "DisplayName"="MCFservice"

– [HKLM\SYSTEM\CurrentControlSet\Services\mcfdrv\Enum]
   • "0"="Root\LEGACY_MCFDRV\\0000"
   • "Count"=dword:00000001
   • "NextInstance"=dword:00000001

– [HKLM\SYSTEM\CurrentControlSet\Services\mcfdrv\Security]
   • "Security"=hex:01,00,14,80,90,00,00,00,9c,00,00,00,14,00,00,00,30,00,00,00,02,\
      00,1c,00,01,00,00,00,02,80,14,00,ff,01,0f,00,01,01,00,00,00,00,00,01,00,00,\
      00,00,02,00,60,00,04,00,00,00,00,00,14,00,fd,01,02,00,01,01,00,00,00,00,00,\
      05,12,00,00,00,00,00,18,00,ff,01,0f,00,01,02,00,00,00,00,00,05,20,00,00,00,\
      20,02,00,00,00,00,14,00,8d,01,02,00,01,01,00,00,00,00,00,05,0b,00,00,00,00,\
      00,18,00,fd,01,02,00,01,02,00,00,00,00,00,05,20,00,00,00,23,02,00,00,01,01,\
      00,00,00,00,00,05,12,00,00,00,01,01,00,00,00,00,00,05,12,00,00,00

以下のレジストリ・キーが追加されます：

– [HKCU\Software\iMesh\Client\LocalContent]
   • "DlDir0"="%SYSDIR%\User Local Files"

– [HKCU\Software\Kazaa\LocalContent]
   • "DlDir0"="%SYSDIR%\User Local Files"

– [HKCU\Software\Kazaa\Transfer]
   • "dir0"="012345:%SYSDIR%\User Local Files"

以下のレジストリ・キーは変更されます：

– [HKCU\Software\iMesh\Client\LocalContent]
   前の値
   • "Dir0"="012345:%ユーザ設定%"
   新しい値
   • "Dir0"="012345:%SYSDIR%\User Local Files"

– [HKCU\Software\Kazaa\LocalContent]
   前の値
   • "Dir0"="012345:%ユーザ設定%"
   新しい値
   • "Dir0"="012345:%SYSDIR%\User Local Files"

– [HKCU\Software\iMesh\Client\LocalContent]
   前の値
   • "DisableSharing"=%ユーザ設定%
   新しい値
   • "DisableSharing"=dword:00000000

– [HKCU\Software\Kazaa\LocalContent]
   前の値
   • "DisableSharing"=%ユーザ設定%
   新しい値
   • "DisableSharing"=dword:00000000

– [HKCU\Software\Kazaa\Transfer]
   前の値
   • "DlDir0"=%ユーザ設定%
   新しい値
   • "DlDir0"="%SYSDIR%\User Local Files"

P2P P2P(ピアツーピア)ネットワーク内の他のシステムに感染するため、以下のアクションを実行します：

– 以下のディレクトリを検索します：
   • %SYSDIR%\User Local Files\

   成功すると、以下のファイルが作成されます：
   • NAV2005_Keygen!.exe; NAV_updates__05.exe; XXX_teens_16-18.exe;
      WindowsXP boost.exe; photoshop__2005.exe;
      ana**********ex_photos.exe; TheBat!7.51.256.exe;
      NortonAntiVirus.exe; DrWEB_Key092007.exe; LAN_hacker_ver2.exe;
      NeT_KILLER_3.84.exe; julia_XXX_video.exe; Kaspersky_KEY08.exe;
      HACKER'S View 2.exe; Mozilla_1.9.927.exe; ProfessionalICQ.exe

バックドア サーバに接続します。
以下のもの：
   • www.**********selwyn.com/IMAGES/PHOTOS/ppages/data.php

結果、いくつかの情報を送る可能性があります。これはPHPスクリプトを使ったHTTP GETとPOSTメソッドを通して行われました。

以下についての情報を送ります：
    • 作成されたログファイル
    • ログインしているユーザ
    • プラットフォームID

窃盗 – ウェブサイトを訪問した後ログインを開始します：
   • https://www.e-**********.com/acct/balance.asp
   • https://www.e-**********.com/acct/accountinfo.asp

– 取り込むのは：
    • ウインドウ情報
    • ログイン情報

ファイルの詳細 ランタイム・パッカー
検出されにくくするため、またファイルのサイズを縮小するため、以下のランタイム・パッカーで圧縮してあります。
• FSG 1.33

簡単な説明はココにあります。.

この説明は Oliver Auerbach によって Mon, 12 Sep 2005 09:12 (GMT+1) 書き込まれました。
この説明は Iulia Diaconescu によって Tue, 13 Sep 2005 10:30 (GMT+1) 更新されました。

» マルウェアについて
» フィッシングについて
» In the Wild ウイルス

« 戻る