Worm/Bobic.Crypt - Worm

参照

概要

詳しい説明

統計

ウイルス	Worm/Bobic.Crypt
発見日：	14/09/2005
タイプ	ワーム
感染報告有り	いいえ
感染報告	低
感染の可能性	中
ダメージ・ポテンシャル	低
スタティック・ファイル	はい
ファイル・サイズ	42.887 バイト
MD5　チェックサム	1219697f35ba9ad7d33fa21dd18050f0
エンジンのバージョン	6.32.0.5

一般情報 感染方法
   • Eメール

別名
   • ビットディフェンダー(Bitdefender)： Win32.Worm.Bobic.M

プラットフォーム/OS：
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP

副作用
   • 特定のウェブサイトへのアクセスを無効にします。
   • レジストリの改変。

ファイルそれ自体を以下の場所にコピーします。
   • %TEMPDIR%\%ランダムな文字列%

ファイルをダウンロードしようとします：

– 場所は以下の通りです：
   • **********.1dumb.com/reg?u=494E8737&v=190&s=29245&su=27220&p=1&e=0&o=0&a=1&wr=75

– 場所は以下の通りです：
   • **********.dynserv.com/reg?u=494E8737&v=190&s=25121&su=24849&p=0&e=0&o=0&a=0&wr=75

– 場所は以下の通りです：
   • **********.1dumb.com/reg?u=494E8737&v=190&s=29245&su=27220&p=1&e=0&o=0&a=1&wr=75

– 場所は以下の通りです：
   • **********.1dumb.com/reg?u=494E8737&v=190&s=29245&su=27220&p=1&e=0&o=0&a=1&wr=75

– 場所は以下の通りです：
   • **********.3-a.net/reg?u=494E8737&v=190&s=29245&su=27220&p=1&e=0&o=0&a=1&wr=75

– 場所は以下の通りです：
   • **********.3-a.net/reg?u=494E8737&v=190&s=29245&su=27220&p=1&e=0&o=0&a=1&wr=75

– 場所は以下の通りです：
   • **********.dynserv.com/reg?u=494E8737&v=190&s=25121&su=24849&p=0&e=0&o=0&a=0&wr=75

– 場所は以下の通りです：
   • **********.3-a.net/reg?u=494E8737&v=190&s=25121&su=24849&p=0&e=0&o=0&a=0&wr=75

– 場所は以下の通りです：
   • **********.1dumb.com/reg?u=494E8737&v=190&s=29245&su=27220&p=1&e=0&o=0&a=1&wr=75

– 場所は以下の通りです：
   • **********.3-a.net/reg?u=494E8737&v=190&s=25121&su=24849&p=0&e=0&o=0&a=0&wr=75

– 場所は以下の通りです：
   • **********.hn.org/reg?u=494E8737&v=190&s=25121&su=24849&p=0&e=0&o=0&a=0&wr=75

– 場所は以下の通りです：
   • **********.3-a.net/reg?u=494E8737&v=190&s=29245&su=27220&p=1&e=0&o=0&a=1&wr=75

– 場所は以下の通りです：
   • **********.1dumb.com/reg?u=494E8737&v=190&s=25121&su=24849&p=0&e=0&o=0&a=0&wr=75

レジストリ以下のレジストリ・キーは変更されます：

– [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess]
   前の値
   • "Start"=%ユーザ設定%
   新しい値
   • "Start"=dword:00000004

Eメールそれはスパムメールを送るためSMTPエンジンが搭載されています。送り先のサーバとの直接接続が構築されます。特徴は以下の通りです：

送信者
送信者のアドレスは改変されています(spoof)。
インターネットで収集されたアドレスです。送信者は送る意図があって送ったわけではありません。送信者は、感染されたことに気づいていないかもしれませんし、まったく感染していないかもしれません。さらに、あなたが感染されたと告げる多数のメールを受け取る可能性があります。これも真実ではないことがあります。

宛先:
– インターネットで収集されたアドレス

件名
以下のもの：
   • $320,000 for less than $600 a month!; $325,000 for less than $613 a
      month!; ...; After 30 years.; Antoinette!; Attack obesity; Aurelia!;
      Bill!; Bobby!; Brain?; Bridgett!; Burn body fat; Burn calories;
      Darryl!; Dena!; Emma!; Emmett!; Erich!; Feel full and satisfied all
      day long; Frances!; FW: FW: your private invitation %two-digit random
      character string%-%ランダムな文字列%.; Fwd: Look your
      best during the summer months; Gary!; Get your personalized rate quote
      NOW!; Getting back to you.; Ginger!; Gracie!; Harley!; Haunted by your
      credit score?; Haunted by your past?; Hello.; Hey Alejandro!; Hey
      Amelia!; Hey Barbara!; Hey Barry!; Hey Betsy!; Hey Britney!; Hey
      Casandra!; Hey Charmaine!; Hey Clara!; Hey Clement!; Hey Colby!; Hey
      Dina!; Hey Dorothy!; Hey Flora!; Hey Genaro!; Hey Ivory!; Hey Jack!;
      Hey Jessica!; Hey Johnnie!; Hey Joshua!; Hey Justin!; Hey Kerri!; Hey
      Liza!; Hey Luella!; Hey Orville!; Hey Raphael!; Hey Reginald!; Hey
      Rosalie!; Hey Shawn!; Hey Sophie!; Hey Tamika!; Hey Tom!; Hey
      Winfred!; Hey!; Hey.; Hola!; How are you?; Imelda!; Increase your
      energy levels; Increase your metabolism; Invitation.; Jayson!; Joann!;
      Jonah!; Just reduce it.; Kelvin!; Lara!; Leonard!; Loretta!; Lose
      excess weight; Maintain your weight loss; Make losing weight a sure
      guarantee; Marcia!; Margo!; Maximum results seen after only a few
      weeks; Mortgage News Update.; No known side effects; Octavio!;
      Pauline!; Personalized mortgage rate quote!; Pre-approved Application
      %%four-digit random character string% |; Rate Quote for free!; Re:;
      re:%two-digit random character string%; Re: abbreviate.; Re: amarillo;
      Re: belie.; Re: blackball.; Re: burdock; Re: Burn.; Re: canvas; Re:
      carbonic; Re: chariot; Re: chimera.; Re: colatitude.; Re: command.;
      Re: comprehensible.; Re: confabulate; Re: congressmen.; Re: contain;
      Re: dale; Re: demur.; Re: dhabi.; Re: dieldrin.; Re: dime.; Re: ed.;
      Re: essex; Re: evaluable; Re: Favour.; Re: formulate.; Re: fusiform;
      Re: gland.; Re: global; Re: goatherd.; Re: goodwill; Re: harvey.; Re:
      haulage.; Re: hausdorff; Re: Hello.; Re: Help.; Re: herein; Re: Hey.;
      Re: hypoactive; Re: imp; Re: index.; Re: jeep.; Re: lithospheric.; Re:
      mac.; Re: marque.; Re: matchmake; Re: melinda; Re: minot.; Re: morton;
      Re: nepenthe; Re: network; Re: octogenarian; Re: parch.; Re: partake;
      Re: pinwheel; Re: plagioclase.; Re: procrustean; Re: pudding; Re:
      quetzal; Re: rancho; Re: ravine.; Re: redbud.; Re: regressive.; Re:
      relate.; Re: Request!; Re: roth.; Re: rowley.; Re: scientist; Re:
      shown.; Re: skunk.; Re: sloppy; Re: snappy.; Re: stephanotis; Re:
      strongroom.; Re: taxonomy; Re: teaspoonful.; Re: The miracle.; Re:
      thrift; Re: transposition; Re: tuberculin; Re: utter; Re: westminster;
      Re: Your order.; Request.; Response to your request.; Suitable for
      vegetarians and vegans; Summer!; Suppress your appetite; The miracle.;
      Truman!; Two hundred and thirty thousand dollars for only $320/month;
      Tyler!; Victoria!; Wilmer!; Your order:%four-digit random character
      string%.; Your order:%four-digit random character string%. You have
      been refunded.

件名は空欄のままになっていることもあります。

本文
メールの本文は以下の通りです：

   • We are happy to present you with six deals from four different brokers.
     Please remember that there is no commitment required on your part, and your credit is not an issue.
     Please validate your information with our secure and private database to ensure our records are up to date and accurate.
     http://**********rns.com/p1.asp
      Have a good day.
      Sincerely,
     %送信者のメールアドレスから取られたユーザ名%
     Customer Service Rep.
     eKLID Inc.

以下のものが続きます：

   • %rランダムな言葉%

メールは以下のうちのどれかであることもあります：

ホストホストファイルは以下のように改変されます：

– この場合、存在する登録情報は変更されません。

– 以下のドメインへのアクセスは効果的に無効にされています。
   • 255.255.255.255 ar.atwola.com atdmt.com avp.ch avp.com avp.ru
      awaps.net ca.com dispatch.mcafee.com download.mcafee.com
      download.microsoft.com downloads.microsoft.com engine.awaps.net
      f-secure.com ftp.f-secure.com ftp.sophos.com go.microsoft.com
      liveupdate.symantec.com mast.mcafee.com mcafee.com msdn.microsoft.com
      my-etrust.com nai.com networkassociates.com office.microsoft.com
      phx.corporate-ir.net secure.nai.com securityresponse.symantec.com
      service1.symantec.com sophos.com spd.atdmt.com support.microsoft.com
      symantec.com update.symantec.com updates.symantec.com us.mcafee.com
      vil.nai.com viruslist.ru windowsupdate.microsoft.com www.avp.ch
      www.avp.com www.avp.ru www.awaps.net www.ca.com www.f-secure.com
      www.kaspersky.ru www.mcafee.com www.my-etrust.com www.nai.com
      www.networkassociates.com www.sophos.com www.symantec.com
      www.trendmicro.com www.viruslist.com www.viruslist.ru www3.ca.com

改変されたホストファイルの外見は以下のようになります。

バックドア結果、リモート・コントロール機能が生まれます。

挿入(Injection) – それ自身をプロセスに挿入させます。

プロセス名：｜以下のうちの１つ：
• %WINDIR%\Explorer.exe

ファイルの詳細 ランタイム・パッカー
検出されにくくするため、またファイルのサイズを縮小するため、以下のランタイム・パッカーで圧縮してあります。
• Neolite

簡単な説明はココにあります。.

この説明は Victor Tone によって Thu, 15 Sep 2005 17:17 (GMT+1) 書き込まれました。
この説明は Victor Tone によって Tue, 20 Sep 2005 14:39 (GMT+1) 更新されました。

» About Malware
» About Phishing
» Viruses In the Wild

« back