TR/Bagle.CU - Trojan

参照

概要

詳しい説明

統計

ウイルス	TR/Bagle.CU
発見日：	20/09/2005
タイプ	トロイの木馬
感染報告有り	はい
感染報告	中
感染の可能性	低
ダメージ・ポテンシャル	中
スタティック・ファイル	はい
ファイル・サイズ	35.146 バイト
MD5　チェックサム	a543640698380e7a3fe5607cfc42304c
VDFファージョン：	6.32.0.21

一般情報 感染方法
   • それ自体に伝染能力はない

別名
   • Symantec(シマンテック) Trojan.Tooso.P
   • McAfee(マカフィー) W32/Bagle.cl
   • Kaspersky(カスペルスキー) Email-Worm.Win32.Bagle.de
   • TrendMicro(トレンドマイクロ） TROJ_BAGLE.DA
   • ビットディフェンダー(Bitdefender)： Win32.Bagle.CZ@mm

プラットフォーム/OS：
   • ウインドウズ 95
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • セキュリティ・アプリケーションを無効にします。
   • ファイルをダウンロードします。
   • 悪意ファイルを作成します。
   • セキュリティの設定を低くします。
   • レジストリの改変。

実行後、それは以下のウインドウを表示するアプリケーションを開始します：

ファイルそれ自体を以下の場所にコピーします。
   • %SYSDIR%\winshost.exe

以下のファイルの名前を変更します：

    • AUPDATE.EXE へ AUPD1ATE.EXE
    • av.dll へ a5v.dll
    • Avconsol.exe へ Avc1onsol.exe
    • avgcc.exe へ avgc3c.exe
    • avgemc.exe へ avg23emc.exe
    • Avsynmgr.exe へ Av1synmgr.exe
    • cafix.exe へ c6a5fix.exe
    • ccApp.exe へ ccA1pp.exe
    • CCEVTMGR.EXE へ C1EVTMGR.EXE
    • ccl30.dll へ cc1l30.dll
    • CCSETMGR.EXE へ C1CSETMGR.EXE
    • ccvrtrst.dll へ ccv1rtrst.dll
    • CMGrdian.exe へ CM1Grdian.exe
    • isafe.exe へ is5a6fe.exe
    • KAV.exe へ K2A2V.exe
    • kavmm.exe へ kav12mm.exe
    • LUALL.EXE へ LUAL1L.EXE
    • LUINSDLL.DLL へ LUI1NSDLL.DLL
    • Luupdate.exe へ Luup1date.exe
    • Mcshield.exe へ Mcsh1ield.exe
    • NAVAPSVC.EXE へ NAV1APSVC.EXE
    • NPFMNTOR.EXE へ NPFM1NTOR.EXE
    • outpost.exe へ outp1ost.exe
    • RuLaunch.exe へ RuLa1unch.exe
    • SNDSrvc.exe へ SND1Srvc.exe
    • SPBBCSvc.exe へ SP1BBCSvc.exe
    • symlcsvc.exe へ s1ymlcsvc.exe
    • Up2Date.exe へ Up222Date.exe
    • vetredir.dll へ ve6tre5dir.dll
    • Vshwin32.exe へ Vshw1in32.exe
    • VsStat.exe へ Vs1Stat.exe
    • vsvault.dll へ vs6va5ult.dll
    • zlclient.exe へ zlcli6ent.exe
    • zonealarm.exe へ zo3nealarm.exe
    • zatutor.exe へ zatu6tor.exe
    • zlavscan.dll へ zl5avscan.dll

以下のファイルが作成されます：

– %SYSDIR%\wiwshost.exe 詳しい調査の結果、このファイルもマルウェアであることが判明しました。以下のように検出されました： TR\Bagle.CU.1

ファイルをダウンロードしようとします：

– 場所は以下の通りです：
   • www.**********build.com/osa6.gif
   • www.**********.net/osa6.gif
   • www.**********hio.com/osa6.gif
   • www.**********.hu/osa6.gif
   • www.**********.de/osa6.gif
   • www.**********bras.com/osa6.gif
   • www.**********online.de/osa6.gif
   • www.**********.cn/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.at/osa6.gif
   • www.**********ecurity.de/osa6.gif
   • www.**********ecasa.it/osa6.gif
   • www.**********media.nl/osa6.gif
   • www.**********project.com/osa6.gif
   • www.**********wanjia.com/osa6.gif
   • www.**********anqing.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.hu/osa6.gif
   • www.**********gong.org/osa6.gif
   • www.**********.com.cn/osa6.gif
   • www.**********.de/osa6.gif
   • www.**********.com.pl/osa6.gif
   • www.**********.com.cn/osa6.gif
   • www.**********.com.cn/osa6.gif
   • www.**********.hu/osa6.gif
   • www.**********hardtgmbh.de/osa6.gif
   • www.**********.hu/osa6.gif
   • www.**********chule-herb.de/osa6.gif
   • www.**********lesser.de/osa6.gif
   • www.**********garoy.com/osa6.gif
   • www.**********occidente.com/osa6.gif
   • www.**********.at/osa6.gif
   • www.**********.fi/osa6.gif
   • www.**********.com.tw/osa6.gif
   • www.**********ters.org/osa6.gif
   • www.**********zeuge.de/osa6.gif
   • www.**********.com.tw/osa6.gif
   • www.**********.cz/osa6.gif
   • www.**********service.be/osa6.gif
   • www.**********.de/osa6.gif
   • www.**********.be/osa6.gif
   • www.**********.cl/osa6.gif
   • www.**********tgweb.de/osa6.gif
   • www.**********.sk/osa6.gif
   • www.**********american.com/osa6.gif
   • www.**********shinn.com/osa6.gif
   • www.**********gjuok.com/osa6.gif
   • www.**********bo.com/osa6.gif
   • www.**********.ch/osa6.gif
   • www.**********rketvw.com/osa6.gif
   • www.**********.net/osa6.gif
   • www.**********.at/osa6.gif
   • www.**********.de/osa6.gif
   • www.**********mbh.com/osa6.gif
   • www.**********.com.pe/osa6.gif
   • www.**********.ee/osa6.gif
   • www.**********.net/osa6.gif
   • www.**********.de/osa6.gif
   • www.**********.ch/osa6.gif
   • www.**********gaderc.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********buecher.de/osa6.gif
   • www.**********nyuan.com/osa6.gif
   • www.**********waaij.nl/osa6.gif
   • www.**********anet.sk/osa6.gif
   • www.**********photo.com/osa6.gif
   • www.**********etaet.de/osa6.gif
   • www.**********.org/osa6.gif
   • www.**********jor.ru/osa6.gif
   • www.**********.org/osa6.gif
   • www.**********.biz/osa6.gif
   • www.**********.home.pl/osa6.gif
   • www.**********steel.at/osa6.gif
   • www.**********.de/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.az/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com.hk/osa6.gif
   • www.**********pharm.com/osa6.gif
   • www.**********.dehtdocs/osa6.gif
   • www.**********.stir.ac.uk/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********betcs.com/osa6.gif
   • www.**********.cz/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********heng.com/osa6.gif
   • www.**********.net/osa6.gif
   • www.**********.com.cn/osa6.gif
   • www.**********basketball.de/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********venture.com/osa6.gif
   • www.**********.tv/osa6.gif
   • www.**********asoutfitter.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.friko.pl/osa6.gif
   • www.**********.be/osa6.gif
   • www.**********.com.pt/osa6.gif
   • www.**********elourway.com/osa6.gif
   • www.**********.pl/osa6.gif
   • www.**********.cz/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********pecchi.it/osa6.gif
   • www.**********.sk/osa6.gif
   • www.**********erchair.com/osa6.gif
   • www.**********.hu/osa6.gif
   • www.**********senelektro.be/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.vn/osa6.gif
   • www.**********.ac.in/osa6.gif
   • www.**********fateh.com/osa6.gif
   • www.**********bank.pl/osa6.gif
   • www.**********.asn.au/osa6.gif
   • www.**********.co.za/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********productions.com/osa6.gif
   • www.**********country.com/osa6.gif
   • www.**********.pl/osa6.gif
   • www.**********industries.com/osa6.gif
   • www.**********.pl/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.net/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.cz/osa6.gif
   • www.**********spruyt.be/osa6.gif
   • www.**********download.com/osa6.gif
   • www.**********.co.za/osa6.gif
   • www.**********software.com/osa6.gif
   • www.**********.co.za/osa6.gif
   • www.**********.az/osa6.gif
   • www.**********.edu.sk/osa6.gif
ハードディスクの以下のパスにセーヴされます： %WINDIR%\_re_file.exe ダウンロードが終了した後、起動されます。これを書き込んだ時点で、インターネット上でこのファイルにアクセスできなかったため、詳しい調査ができませんでした。

レジストリ以下のレジストリ・キーは、再起動後にそのプロセスを実行するために追加されたものです：

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "winshost.exe"="%SYSDIR%\winshost.exe"

– [HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
   • "winshost.exe"="%SYSDIR%\winshost.exe"

以下のレジストリ・キーの値が消えています：

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • APVXDWIN
   • avg7_cc
   • avg7_emc
   • ccApp
   • KAV50
   • McAfee Guardian
   • NAV CfgWiz
   • SSC_UserPrompt
   • Symantec NetDriver Monitor
   • Zone Labs Client

– [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • McAfee.InstantUpdate.Monitor

以下のレジストリ・キーが、中に含まれるすべての値とサブキーと一緒に消されます。
   • [HKLM\SOFTWARE\Agnitum]
   • [HKLM\SOFTWARE\KasperskyLab]
   • [HKLM\SOFTWARE\McAfee]
   • [HKLM\SOFTWARE\Panda Software]
   • [HKLM\SOFTWARE\Symantec]
   • [HKLM\SOFTWARE\Zone Labs]

以下のレジストリ・キーが追加されます：

– [HKCU\Software\FirstRun]
   • "FirstRunRR"=dword:00000001

Eメールそれ自身に伝染する能力はありませんが、メールを通して感染します。特徴は以下の通りです：

添付ファイル
添付ファイルの名前は：
   • 09_price.zip
   • new__price.zip
   • new_price.zip
   • newprice.zip
   • price2.zip
   • price_09.zip
   • price_new.zip

ホストホストファイルは以下のように改変されます：

– この場合、存在する登録情報は削除されます。

改変されたホストファイルの外見は以下のようになります。

プロセス中断以下のプロセスは終了されます：
   • ATUPDATER.EXE; AUPDATE.EXE; AUTODOWN.EXE; AUTOTRACE.EXE;
      AUTOUPDATE.EXE; AVPUPD.EXE; AVWUPD32.EXE; AVXQUAR.EXE; CFIAUDIT.EXE;
      DRWEBUPW.EXE; ESCANH95.EXE; ESCANHNT.EXE; FIREWALL.EXE; ICSSUPPNT.EXE;
      ICSUPP95.EXE; LUALL.EXE; MCUPDATE.EXE; NUPGRADE.EXE; OUTPOST.EXE;
      UPDATE.EXE; UPGRADER.EXE

以下のサービスは無効にされます：
   • Ahnlab task Scheduler; alerter; AlertManger; AVExch32Service;
      avg7alrt; avg7updsvc; AvgCore; AvgFsh; AvgServ; AVPCC; AVUPDService;
      AvxIni; awhost32; backweb client - 4476822; BackWeb Client - 7681197;
      BlackICE; CAISafe; ccEvtMgr; ccPwdSvc; ccSetMgr; ccSetMgr.exe;
      DefWatch; dvpapi; dvpinit; fsbwsys; FSDFWD; F-Secure Gatekeeper
      Handler Starter; FSMA; KAVMonitorService; kavsvc; KLBLMain; McAfee
      Firewall; McAfeeFramework; McShield; McTaskManager; mcupdmgr.exe;
      MCVSRte; MonSvcNT; navapsvc; navapsvc; Network Associates Log Service;
      NISSERV; NISUM; NOD32ControlCenter; NOD32Service; Norman NJeeves;
      Norman ZANDA; Norton Antivirus Server; NPFMntor; NProtectService;
      NSCTOP; nvcoas; NVCScheduler; nwclntc; nwclntd; nwclnte; nwclntf;
      nwclntg; nwclnth; NWService; Outbreak Manager; Outpost Firewall;
      OutpostFirewall; PASSRV; PAVFNSVR; Pavkre; PavProt; PavPrSrv; PAVSRV;
      PCCPFW; PersFW; PREVSRV; PSIMSVC; ravmon8; SAVFMSE; SAVScan;
      SBService; schscnt; sharedaccess; SharedAccess; SmcService; SNDSrvc;
      SPBBCSvc; SweepNet; SWEEPSRV.SYS; Symantec AntiVirus Client; Symantec
      Core LC; Tmntsrv; V3MonNT; V3MonSvc; VexiraAntivirus; VisNetic
      AntiVirus Plug-in; vsmon; wscsvc; wuauserv; XCOMM

挿入(Injection) – 以下のファイルをプロセスに挿入させます： %SYSDIR%\wiwshost.exe

プロセス名：｜以下のうちの１つ：
• explorer.exe

ファイルの詳細 ランタイム・パッカー
検出されにくくするため、またファイルのサイズを縮小するため、ランタイム・パッカーで圧縮してあります。

簡単な説明はココにあります。.

この説明は Iulia Diaconescu によって Tue, 20 Sep 2005 13:52 (GMT+1) 書き込まれました。
この説明は Iulia Diaconescu によって Thu, 22 Sep 2005 13:41 (GMT+1) 更新されました。

» About Malware
» About Phishing
» Viruses In the Wild

« back