Worm/NetSky.Q - Worm

参照

概要

詳しい説明

統計

ウイルス	Worm/Netsky.Q
発見日：	29/03/2004
タイプ	ワーム
感染報告有り	いいえ
感染報告	低
感染の可能性	中
ダメージ・ポテンシャル	低
スタティック・ファイル	はい
ファイル・サイズ	28.008 バイト
MD5　チェックサム	04871d17dbbd1911afc76aad6d9dbd20
VDFファージョン：	6.24.0.75

一般情報 感染方法
   • Eメール

別名
   • Symantec(シマンテック) W32.Netsky.Q@mm
   • McAfee(マカフィー) W32/Netsky.q@MM
   • Kaspersky(カスペルスキー) Email-Worm.Win32.NetSky.r
   • TrendMicro(トレンドマイクロ） WORM_NETSKY.Q
   • Grisoft I-Worm/Netsky.R
   • ウイルスバスター I-Worm.Netsky.R
   • ビットディフェンダー(Bitdefender)： Win32.NetSky.Q@mm

プラットフォーム/OS：
   • ウインドウズ 95
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • 悪意ファイルを作成します。
   • それ自身のメール・エンジンを利用します。
   • レジストリの改変。
   • ソフトの脆弱性を利用します。

実行後、それは以下のウインドウを表示するアプリケーションを開始します：

ファイルそれ自体を以下の場所にコピーします。
   • %WINDIR%\sysmonxp.exe

以下の場所にあるアーカイブ内にそれ自身をコピーします：
   • %WINDIR%\zippedbase64.tmp

以下のファイルが作成されます：

– このファイルをMIMEでエンコードしたコピー
   • %WINDIR%\base64.tmp
   • %WINDIR%\zipo0.txt
   • %WINDIR%\zipo1.txt
   • %WINDIR%\zipo2.txt
   • %WINDIR%\zipo3.txt

– %WINDIR%\firewalllogger.txt 詳しい調査の結果、このファイルもマルウェアであることが判明しました。以下のように検出されました： Worm/NetSky.Q.Drp

レジストリ以下のレジストリ・キーは、再起動後にそのプロセスを実行するために追加されたものです：

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "SysMonXP"="%WINDIR%\SysMonXP.exe"

以下のレジストリ・キーが、中に含まれるすべての値とサブキーと一緒に消されます。
   • [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\PINF]
   • [HKCR\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}\InProcServer32]

Eメールそれはメールを送るためSMTPエンジンが搭載されています。送り先のサーバとの直接接続が構築されます。特徴は以下の通りです：

エクスプロイト(Exploit)
時によって、以下の脆弱性を利用します：
– MS01-020 不適切な MIME ヘッダーが原因で Internet Explorer が電子メールの添付ファイルを実行する

送信者
送信者のアドレスは改変されています(spoof)。

宛先:
– システム内のあるファイルにあるメールアドレス

件名
メールの件名は以下の中から構成されます：

    以下のうちのどれかで始まります：
   • Delivery Bot
   • Server Error
   • Deliver Mail
   • Delivery Failed
   • Unknown Exception
   • Failed
   • Failure
   • Status
   • Error
   • Delivered Message
   • Mail System
   • Mail Delivery System
   • Mail Delivery failure
   • Delivery
   • Delivery Failure
   • Delivery Error

    以下のうちのどれかが続きます：
   • %受信者のメールアドレス%

本文

メールの本文は以下の通りです：

   • Delivery Agent - Translation failed

     ------------- failed message -------------
     %ランダムな文字列%

   • Delivery Failure - Invalid mail specification

     ------------- failed message -------------
     %ランダムな文字列%

   • Mail Delivery Failure - This mail couldn't be shown.

     ------------- failed message -------------
     %ランダムな文字列%

   • Mail Delivery Failure - This mail couldn't be shown.

     ------------- failed message -------------
     %ランダムな文字列%

   • Mail Delivery System - This mail contains binary characters

     ------------- failed message -------------
     %ランダムな文字列%

   • Mail Transaction Failed - This mail couldn't be converted

     ------------- failed message -------------
     %ランダムな文字列%

   • Mail Delivery Error - This mail contains unicode characters

     ------------- failed message -------------
     %ランダムな文字列%

   • Mail Delivery Failed - This mail couldn't be represented

     ------------- failed message -------------
     %ランダムな文字列%

   • Mail Delivery - This mail couldn't be displayed

     ------------- failed message -------------
     %ランダムな文字列%

以下のものが続きます：

   • Note: Received message has been sent as a binary file.

   • Modified message has been sent as a binary attachment.

   • Received message has been sent as an encoded attachment.

   • Translated message has been attached.

   • Message has been sent as a binary attachment.

   • Received message has been attached.

   • Partial message is available and has been sent as a binary attachment.

   • The message has been sent as a binary attachment.

以下のものが続くことがあります：

   • Or you can view this message at:

     www.%受信者のドメイン%/inmail%メールアドレスから取られた受信者のドメイン名%/mread.php/sessionid-%ランダムにいくつか選ばれた0から9までの数%

添付ファイル
添付ファイルの名前は以下のものから構成されています：

– 以下のうちのどれかで始まります：
   • data
   • mail
   • msg
   • message

その後に以下のうちのどれかが続くことがあります：
   • %ランダムにいくつか選ばれた0から9までの数%

    ファイル拡張子は以下のうちのどれかです：
   • .pif
   • .zip

これは添付ファイルの名前がどのようなものであるかの例です：
   • mail3729.zip
   • data14025.pif
   • message.pif

メールは以下のうちのどれかであることもあります：

送信 アドレスの検索：
以下のファイルからメールアドレスを検索します：
   • .ppt; .xls; .stm; .ods; .nch; .mmf; .mht; .mdx; .mbx; .cfg; .xml;
      .wsh; .jsp; .html; .htm; .pl; .dbx; .tbb; .adb; .dhtm; .cgi; .shtm;
      .uin; .rtf; .vbs; .msg; .oft; .sht; .doc; .wab; .asp; .php; .txt; .eml

アドレスは無視します：
以下の文字列を含むアドレスにはメールは送られません：
   • reports@; spam@; noreply@; @viruslis; ntivir; @sophos; @freeav;
      @pandasof; @skynet; @messagel; abuse@; @fbi; @norton; @f-pro;
      @kaspersky; @mcafee; @norman; @bitdefender; @f-secur; @avp; @spam;
      @symantec; @antivi; @microsof

DoS 以下の宛先にDoS攻撃を開始します。
   • www.edonkey2000.com
   • www.kazaa.com
   • www.emule-project.net
   • www.cracks.am
   • www.cracks.st

その他 Mutex(ミューテック)
以下のMutex(ミューテック）を作成します：
   • _-oOaxX|-+S+-+k+-+y+-+N+-+e+-+t+-|XxKOo-_

文字列
さらに以下の文字列を含みます：
   • We are the only SkyNet, we don't have any criminal inspirations.
   • Due to many reports, we do not have any backdoors included for spam relaying.
   • and we aren't children. Due to this, many reports are wrong.
   • We don't use any virus creation toolkits, only the higher language
   • Microsoft Visual C++ 6.0. We want to prevent hacker,.
   • cracking, sharing with illegal stuff and similar illegal content.
   • Hey, big firms only want to make a lot of money.
   • That is what we don't prefer. We want to solve and avoid it.
   • Note: Users do not need a new av-update, they need
   • a better education! We will envolope...
   • - Best regards, the SkyNet Antivirus Team, Russia 05:11 P.M -

ファイルの詳細 プログラム言語:
このマルウェアプログラムはMS Visual C++で書かれています。

ランタイム・パッカー
検出されにくくするため、またファイルのサイズを縮小するため、ランタイム・パッカーで圧縮してあります。

簡単な説明はココにあります。.

この説明は Andrei Gherman によって Thu, 29 Sep 2005 13:35 (GMT+1) 書き込まれました。
この説明は Andrei Gherman によって Fri, 30 Sep 2005 10:39 (GMT+1) 更新されました。

» About Malware
» About Phishing
» Viruses In the Wild

« back