Worm/SdBot.86236 - Worm

参照

概要

詳しい説明

統計

ウイルス	Worm/SdBot.86236
発見日：	05/09/2005
タイプ	ワーム
感染報告有り	いいえ
感染報告	低
感染の可能性	中
ダメージ・ポテンシャル	中
スタティック・ファイル	はい
ファイル・サイズ	86.236 バイト
MD5　チェックサム	47ebaf7935e8986394abc64a295221a8
VDFファージョン：	6.31.1.210

一般情報 感染方法
   • ローカル・ネットワーク

別名
   • Symantec(シマンテック) W32.Spybot.Worm
   • TrendMicro(トレンドマイクロ） BKDR_SDBOT.MY

プラットフォーム/OS：
   • ウインドウズ 95
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • レジストリの改変。
   • サード・パーティ・コントロール

ファイルそれ自体を以下の場所にコピーします。
• %SYSDIR%\WinV.exe

最初に実行したコピーの方を削除します。

レジストリ以下のレジストリ・キーは、再起動後にそのプロセスを実行するために追加されたものです：

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "Windows Update 64"="WinV.exe"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]
   • Windows Update 64"="WinV.exe"

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • Windows Update 64"="WinV.exe"

– [HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce]
   • Windows Update 64"="WinV.exe"

以下のレジストリ・キーは、再起動後にそのサービスを読み込むために追加されたものです：

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
   • Windows Update 64"="WinV.exe"

ネットワーク感染感染を確かなものにするために、マルウェアは以下のように他のマシンに接続しようとします。

エクスプロイト(Exploit)
以下のエクスプロイト(Exploit)を利用します：
– MS04-007 (ASN .1 の脆弱性により、コードが実行される)
– MS04-011 (LSASSの脆弱性)

感染プロセス
リモートロケーションにマルウェアをダウンロードするため、侵入したマシンにFTPスクリプトを作成します。

IRC システム情報を報告し、リモートコントロールを可能にするために以下のIRCサーバに接続します：

サーバ **********.afraid.org
ポート： 6667
チャンネル #pwn
ニックネーム GoeRoe-%7桁のランダムな文字列%
パスワード pwn

サーバ **********.dutchirc.nl
ポート： 6667
チャンネル #pwn
ニックネーム GoeRoe-%7桁のランダムな文字列%
パスワード pwn

– このマルウェアは以下の情報を収集し送る能力があります：
    • 収集されたメールアドレス
    • CPU速度
    • 空きディスク容量
    • 空きメモリ
    • マルウェアの起動時間
    • 起動中のプロセスについての情報
    • メモリサイズ

– その他以下のアクションを実行することもできます：
    • DDoS ICMP flood 攻撃を開始します。
    • DDoS SYN flood 攻撃を開始します。
    • DDoS TCP flood 攻撃を開始します。
    • DDoS UDP flood 攻撃を開始します。
    • ネットワークシェアを無効にする
    • ダウンロード・ファイル
    • レジストリの編集
    • 実行ファイル
    • IRCチャンネルに入室する
    • プロセスを強制終了する
    • DDoS攻撃を実行する
    • ネットワーク・スキャンの実行
    • ポート転送を実行する
    • サービスの登録
    • システム再起動
    • メールを送る
    • システムをシャットダウンする
    • それ自身をアップデートします。
    • ファイルをアップロードする
    • ウェブサイトを訪問します。

窃盗以下の情報を盗もうとします：
– ウインドウズ製品のID

– 以下のCDキー：
   • Unreal Tournament 2004; Unreal Tournament 2003; Soldier Of Fortune 2;
      Soldiers Of Anarchy; Shogun: Total War: Warlord Edition; Ravenshield;
      Neverwinter Nights; Need For Speed: Underground; Need For Speed: Hot
      Pursuit 2; NHL 2003; NHL 2002; Nascar Racing 2003; Nascar Racing 2002;
      Medal of Honor: Allied Assault: Spearhead; Medal of Honor: Allied
      Assault: Breakthrough; Medal of Honor: Allied Assault; James Bond 007:
      Nightfire; Industry Giant 2; IGI2: Covert Strike; Hidden and Dangerous
      2; Half-Life; Gunman Chronicles; Global Operations; Freedom Force;
      FIFA 2003; FIFA 2002; Counter-Strike; Command and Conquer: Tiberian
      Sun; Command and Conquer: Red Alert2; Command and Conquer: Generals:
      Zero Hour; Command and Conquer: Generals; Black and White; Battlefield
      1942: Vietnam; Battlefield 1942: The Road To Rome; Battlefield 1942:
      Secret Weapons Of WWII; Battlefield 1942

– 以下のプログラムからのパスワード：
   • Yahoo Messenger
   • AIM
   • MSN Messenger

– 以下のサブストリングをURLに含むウェブサイトを訪問した後ログインを開始します：
   • paypal.com
   • paypal

– 取り込むのは：
    • ログイン情報

簡単な説明はココにあります。.

この説明は Razvan Olteanu によって Mon, 12 Sep 2005 11:05 (GMT+1) 書き込まれました。
この説明は Razvan Olteanu によって Wed, 14 Sep 2005 10:36 (GMT+1) 更新されました。

» About Malware
» About Phishing
» Viruses In the Wild

« back