Worm/Mytob.KU - Worm

参照

概要

詳しい説明

統計

ウイルス	Worm/Mytob.KU
発見日：	16/10/2005
タイプ	ワーム
感染報告有り	はい
感染報告	低
感染の可能性	中～高
ダメージ・ポテンシャル	中
スタティック・ファイル	はい
ファイル・サイズ	44.032 バイト
MD5　チェックサム	681c76891f755ce893930C5afb670840
VDFファージョン：	6.32.00.89 - Sun, 16 Oct 2005 20:57 (GMT+1)

一般情報 感染方法
   • Eメール
   • ローカル・ネットワーク
   • P2P(ピアツーピア)

別名
   • Kaspersky(カスペルスキー) Email-Worm.Win32.Fanbot.j
   • TrendMicro(トレンドマイクロ） WORM_FANBOT.C
   • Sophos(ソフォス) W32/Fanbot-H
   • Grisoft I-Worm/Mytob.M
   • ビットディフェンダー(Bitdefender)： Win32.Fanbot.J@mm

プラットフォーム/OS：
   • ウインドウズ 95
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP

副作用
   • セキュリティ関係のウェブサイトへのアクセスを無効にします。
   • セキュリティ・アプリケーションを無効にします。
   • セキュリティの設定を低くします。
   • レジストリの改変。
   • ソフトの脆弱性を利用します。
   • 情報を盗みます。

起動後以下の情報が表示されます：

ファイルそれ自体を以下の場所にコピーします。
• %SYSDIR%\remote.exe

最初に実行したコピーの方を削除します。

レジストリ以下のレジストリ・キーは、再起動後にそのサービスを読み込むために追加されたものです：

– HKLM\SYSTEM\CurrentControlSet\Services\RpcRemotes
   • "Type"=dword:00000010
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000001
   • "ImagePath"="%SYSDIR%\remote.exe"
   • "DisplayName"="Remote Procedure Call (RPC) Remote"
   • "ObjectName"="LocalSystem"
   • "Description"="Manages the RPC name service database."

以下のレジストリ・キーが追加されます：

– HKLM\Software\Microsoft\Windows\CurrentVersion\Setup
   • "Ph4nt0m" = "Ph4nt0m"

以下のレジストリ・キーは変更されます：

ウインドウズ XPのＦｉｒｅｗａｌｌ（防火壁）を無効にする:
– HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess
   前の値
   • "Start" =%ユーザ設定%
   新しい値
   • "Start" = dword:00000004

– HKLM\SYSTEM\CurrentControlSet\Services\wuauserv
   前の値
   • "Start"=%ユーザ設定%
   新しい値
   • "Start" = dword:00000004

Eメールそれはメールを送るためSMTPエンジンが搭載されています。送り先のサーバとの直接接続が構築されます。特徴は以下の通りです：

送信者
送信者のアドレスは改変されています(spoof)。
作成されたアドレスです。送信者は送る意図があって送ったわけではありません。送信者は、感染されたことに気づいていないかもしれませんし、まったく感染していないかもしれません。さらに、あなたが感染されたと告げる多数のメールを受け取る可能性があります。これも真実ではないことがあります。

宛先:
– システム内のあるファイルにあるメールアドレス
– ウインドウズ・アドレス帳(WAB)を使って集められたメールアドレス
– 作成されたアドレス

件名
以下のもの：
   • *DETECTED* Online User Violation.
   • Email Account Suspension.
   • Hello. Were Skype and weve got something we would like to share with you.
   • Important Notification!
   • Members Support.
   • Notice of account limitation.
   • Security measures.
   • Share Skype.
   • Skype for Windows 1.4 - Have you got the new Skype?
   • Warning Message: Your services near to be closed.
   • What is Skype?
   • Your Account is Suspended For Security Reasons.
   • Your Account is Suspended.

本文
メールの本文は以下のうちのどれかです：

   • Dear user %受信者のメールアドレスから取られたユーザ名% ,
     It has come to our attention that your %メールアドレスから取られた送信者のドメイン名% User Profile ( x ) records are out of date. For further details see the attached document.
     Thank you for using %メールアドレスから取られた送信者のドメイン名% !
     The %メールアドレスから取られた送信者のドメイン名% Support Team

     +++ Attachment: No Virus (Clean)
     +++ %メールアドレスから取られた送信者のドメイン名% Antivirus - www.%メールアドレスから取られた送信者のドメイン名%

   • Dear%メールアドレスから取られた受信者のドメイン名% Member,
     Your e-mail account was used to send a huge amount of unsolicited spam messages during the recent week. If you could please take 5-10 minutes out of your online experience and confirm the attached document so you will not run into any future problems with the online service.

     If you choose to ignore our request, you leave us no choice but to cancel your membership.
     Virtually yours,
     The %メールアドレスから取られた送信者のドメイン名% Support Team

     +++ Attachment: No Virus found
     +++%メールアドレスから取られた送信者のドメイン名% Antivirus - www.%メールアドレスから取られた送信者のドメイン名%

   • Dear %メールアドレスから取られた受信者のドメイン名% Member,
     We have temporarily suspended your email account %受信者のメールアドレス%
     This might be due to either of the following reasons:
     1. A recent change in your personal information (i.e. change of address).
     2. Submiting invalid information during the initial sign up process.
     3. An innability to accurately verify your selected option of subscription due to an internal error within our processors.
     See the details to reactivate your %メールアドレスから取られた受信者のドメイン名% account.
     Sincerely,The %メールアドレスから取られた送信者のドメイン名% Support Team

     +++ Attachment: No Virus (Clean)
     +++ %メールアドレスから取られた送信者のドメイン名% Antivirus - www.%メールアドレスから取られた送信者のドメイン名%

   • Dear user %受信者のメールアドレスから取られたユーザ名% ,
     You have successfully updated the password of your %メールアドレスから取られた受信者のドメイン名% account.
     If you did not authorize this change or if you need assistance with your account, please contact %メールアドレスから取られた送信者のドメイン名% customer service at: %送信者のメールアドレス%
     Thank you for using%メールアドレスから取られた送信者のドメイン名%!
     The %メールアドレスから取られた送信者のドメイン名% Support Team

     +++ Attachment: No Virus (Clean)
     +++ %メールアドレスから取られた送信者のドメイン名% Antivirus - www.%メールアドレスから取られた送信者のドメイン名%

   • Dear user %受信者のメールアドレスから取られたユーザ名%,
     Skype is a little piece of software that lets you talk over the Internet to anyone, anywhere for free.
     And it just got even better ¡ª download the latest version of Skype:
     Our call quality is the best ever for talking, laughing and sharing stories.
     You can forward calls on to mobiles, landlines and other Skype Names.
     Make calls instantly from Outlook email or Internet Explorer with our new toolbars.
     Personalise your Skype ¡ª play around with sounds, ringtones and pictures to show the world who you are.
     For further details see the attached document.

     This message contains graphics. If you do not see the graphics, click here to view.
     Legal information

添付ファイル
添付ファイルの名前は：
   • account-details.zip
   • account-info.zip
   • account-report.zip
   • document.zip
   • email-details.zip
   • important-details.zip
   • readme.zip
   • Share Skype.zip
   • Skype for Windows 1.4.zip
   • Skype.zip
   • Skype-details.zip
   • Skype-document.zip
   • Skype-info.zip
   • Skype-stuffs.zip

添付ファイルは、マルウェア自身のコピーです。

メールは以下のうちのどれかであることもあります：

送信 アドレスの検索：
以下のファイルからメールアドレスを検索します：
   • adb; asp; cfg; cgi; dbx; ht; htm; html; jsp; mdb; msg; php; sht; tbb;
      txt; vbe; vbs; xml

TO欄のためのアドレス作成
アドレスを作成するのに以下の文字列を使用します：
   • adam; alex; andrew; anna; bill; bob; brenda; brent; brian; claudia;
      dan; dave; david; debby; frank; fred; george; helen; jack; james;
      jane; jerry; jim; jimmy; joe; john; jose; josh; julie; kevin; leo;
      linda; maria; mary; matt; michael; mike; paul; peter; ray; robert;
      sales; sam; sandra; serg; smith; stan; steve; ted; tom

FROM欄のためのアドレス作成
アドレスを作成するのに以下の文字列を使用します：
   • noreply
   • webmaster
   • register
   • info
   • admin
   • service
   • mail
   • administrator
   • support

アドレスは無視します：
以下の文字列を含むアドレスにはメールは送られません：
   • -._!; -._!@; .edu; .gov; .mil; abuse; accoun; acketst; admin; ahn;
      antivi; anyone; arin.; avp; be_loyal:; berkeley; borlan; bsd; bugs;
      certific; contact; duba; example; fbi; fcnz; feste; fido; foo.; f-pro;
      freeav; f-secur; fsf.; gnu; gold-certs; google; gov.; help; hotmail;
      iana; ibm.com; icrosof; icrosoft; ietf; info; inpris; isc.o; isi.e;
      jiangmin; kaspersky; kernel; linux; listserv; master; math; mcafee;
      messagelabs; mit.e; mozilla; msn.; mydomai; nobody; nodomai; noone;
      norman; norton; not; nothing; ntivi; page; panda; pgp; postmaster;
      privacy; rating; rfc-ed; ripe.; rising; root; ruslis; samples; sdbot;
      secur; sendmail; service; site; slashdot; soft; somebody; someone;
      sopho; sourceforge; spm; submit; support; syma; symantec; tanford.e;
      the.bat; unix; usenet; utgers.ed; viruslis; webmaster; www; you; your

MX文字列を前に入れます：
メールサーバのIPアドレスを取るために、以下の文字列をドメイン名の前に入れます：
   • mx.
   • mail.
   • smtp.
   • mx1.
   • mxs.
   • mail1.
   • relay.
   • ns.
   • gate.

P2P P2P(ピアツーピア)ネットワーク内の他のシステムに感染するため、以下のアクションを実行します：

–   以下のサブストリング(substring)を含むディレクトリを検索します：
   • bear
   • donkey
   • download
   • htdocs
   • icq
   • incoming
   • kazaa
   • lime
   • morpheus
   • mule
   • share
   • sharing
   • soft
   • upload

   成功すると、以下のファイルが作成されます：
   • Copies itself with the names; XXX hardcore pics.jpg.exe; WinXP eBook
      newest.doc.exe; Windows XP crack.exe; Windows 2003 crack.exe; Windows
      2000 Sourcecode.doc.exe; WinAmp 13 full.exe; Win Longhorn re.exe; Win
      Longhorn.doc.exe; Winxp_Crack.exe; Winamp5.exe; Visual Studio Net
      Crack all.exe; virii.scr; Ulead Keygen 2004.exe; UltraEdit-32 12.01 +
      Cracker.exe; The Sims 4 beta.exe; Teen Porn 15.jpg.pif; TouchNet
      Browser 1.29b.exe; Star Office 9.exe; Smashing the stack full.rtf.exe;
      Serials edition.txt.exe; Screensaver2.scr; Saddam Hussein.jpg.exe;
      Serials 2005_New.exe; Strip-Girl-2.0b.exe; Super Dollfie.pif;
      strippoker.exe; Serial.txt.exe; Ringtones.mp3.exe; Ringtones.doc.exe;
      RFC compilation.doc.exe; RealPlayer_New.exe; rfc compilation.doc.exe;
      Rain.scr; Porno Screensaver britney.scr; Partitionsmagic 10 beta.exe;
      programming basics.doc.exe; porno.scr; Opera 11.exe; Office_Crack.exe;
      Norton Antivirus 2005 beta.exe; netsky source code.scr; nuke2004.exe;
      MS Service Pack 6.exe; Microsoft WinXP Crack full.exe; Microsoft
      Office 2003 Crack best.exe; Matrix.mpg.exe; Magix Video Deluxe 5
      beta.exe; max payne 2.crack.exe; Maxthon_New.exe; MSN7-final.exe;
      matrix.scr; Lightwave 9 Update.exe; Learn Programming 2004.doc.exe;
      Keygen 4 all new.exe; Kazaa new.exe; Kazaa Lite 4.0 new.exe;
      Kula.jpg.pif; Kula.scr; 'K.jpg.pif; Internet Explorer 9 setup.exe;
      icq2005-final.exe; How to hack new.doc.exe; Harry Potter.doc.exe;
      Harry Potter game.exe; Harry Potter e book.doc.exe; Harry Potter all
      e.book.doc.exe; Harry Potter 5.mpg.exe; Harry Potter 1-6 book.txt.exe;
      how to hack.doc.exe; Gimp 1.8 Full with Key.exe; Full album
      all.mp3.pif; firefox-1.6a1.en-US.win32.installer.exe; Eminem.mp3.exe;
      Eminem Spears porn.jpg.exe; Eminem Song text archive.doc.exe; Eminem
      Sexy archive.doc.exe; Eminem sex xxx.jpg.exe; Eminem Poster.jpg.exe;
      Eminem full album.mp3.exe; Eminem blowjob.jpg.exe; E-Book
      Archive2.rtf.exe; eminem - lick my pussy.mp3.pif;
      e-book.archive.doc.exe; e.book.doc.exe; Doom 3 release 2.exe; DivX 8.0
      final.exe; Dictionary English 2004 - France.doc.exe; Dark Angels
      new.pif; dolly_buster.jpg.pif; dictionary.doc.exe; dcom_patches.exe;
      doom2.doc.pif; Cracks & Warez Archiv.exe; Cloning.doc.exe; Clone DVD
      6.exe; cool screensaver.scr; Britney Spears.mp3.exe; Britney
      Spears.jpg.exe; Britney Spears Song text archive.doc.exe; Britney
      Spears Sexy archive.doc.exe; Britney Spears porn.jpg.exe; Britney
      Spears full album.mp3.exe; Britney Spears fuck.jpg.exe; Britney Spears
      cumshot.jpg.exe; Britney Spears blowjob.jpg.exe; Britney Spears and
      Eminem porn.jpg.exe; Britney sex xxx.jpg.exe; Best Matrix Screensaver
      new.scr; BlackIce_Firewall_Enterpriseactivation_Crack.exe;
      Butterfly.scr; Bifrost.scr; Arnold Schwarzenegger.jpg.exe; American
      Idol.doc.exe; Altkins Diet.doc.exe; Ahead Nero 8.exe; Adobe Premiere
      10.exe; Adobe Photoshop 10 full.exe; Adobe Photoshop 10 crack.exe;
      ACDSee 10.exe; AcrobatReader_New.exe; activation_crack.exe;
      angels.pif; 3D Studio Max 6 3dsmax.exe; 1001 Sex and more.rtf.exe

   それらのファイルはこのマルウェアのコピーです。

ネットワーク感染感染を確かなものにするために、マルウェアは以下のように他のマシンに接続しようとします。

エクスプロイト(Exploit)
以下のエクスプロイト(Exploit)を利用します：
– MS05-039 (プラグ・アンド・プレイの脆弱性)

IPアドレス作成
ランダムなIPアドレスを作り、それらと接続しようとします。

感染プロセス
リモートロケーションにマルウェアをダウンロードするため、侵入したマシンにFTPスクリプトを作成します。

IRC システム情報を報告し、リモートコントロールを可能にするために以下のIRCサーバに接続します：

サーバ jojogirl.3322.org
ポート： 5262
チャンネル #Phantom
ニックネーム %6桁のランダムな文字列%

– このマルウェアは以下の情報を収集し送る能力があります：
    • CPU速度
    • ログインしているユーザ
    • 空きディスク容量
    • 空きメモリ
    • マルウェアの起動時間
    • ネットワークについての情報
    • 起動中のプロセスについての情報
    • メモリサイズ
    • システムディレクトリ
    • ユーザーネーム
    • ウインドウズOSについての情報

– その他以下のアクションを実行することもできます：
    • IRCサーバと接続します。
    • DDoS SYN flood 攻撃を開始します。
    • DDoS UDP flood 攻撃を開始します。
    • IRCサーバとの接続を終了します。
    • ダウンロード・ファイル
    • 実行ファイル
    • IRCチャンネルに入室する
    • プロセスを強制終了する
    • IRCチャンネルを退室する
    • リモートシェルを開く
    • DDoS攻撃を実行する
    • ネットワーク・スキャンの実行
    • システム再起動
    • システムをシャットダウンする
    • キーログの開始
    • プロセスを終了する
    • それ自身をアップデートします。
    • ファイルをアップロードする
    • ウェブサイトを訪問します。

プロセス中断以下のプロセスは終了されます：
   • a2hijackfree.exe; adam.exe; AgtX0404.exe; AgtX0411.exe; AgtX0804.exe;
      AlertAst.exe; ALEScan.exe; ALEUpdat.exe; ALUNOTIFY.EXE;
      antivirus_update.exe; aports.exe; AUPDATE.EXE; BackRav.exe;
      Blackd.exe; Blackice.exe; botzor.exe; bronstab.exe; ccEmFlSv.exe;
      CCenter.exe; CfgWiz.exe; Cleanup.exe; CmdAgent.exe; coolbot.exe;
      csm.exe; csscan.exe; CVT.exe; DefWatch.exe; DWHWizrd.exe; EGhost.exe;
      eksplorasi.pif; fint2005.exe; FrameworkService.exe; FrmInst.exe;
      hellmsn.scr; HijackThis.exe; hkcmd.exe; HNetWiz.exe; hpmanager.exe;
      iamstats.exe; IceSword.exe; IDTemplate.exe; igfxtray.exe; InBuild.exe;
      Iparmor.exe; ISSVC.exe; java.exe; KATMain.EXE; kav.exe; KAV32.EXE;
      KAVDX.EXE; KAVLog2.EXE; KAVPFW.EXE; kavsend.exe; KAVStart.exe;
      kavsvc.exe; KillBox.exe; KMailMon.EXE; knlps.exe; knlsc13.exe;
      KPFWSvc.EXE; KRecycle.EXE; KRegEx.exe; KShrMgr.EXE; KVCenter.kxp;
      kvdetech.exe; KvDetect.exe; kvdisk.kxp; KVDOS.exe; KVMonXP.kxp;
      KVOL.exe; kvolself.exe; KvReport.kxp; KVScan.kxp; KVSrvXP.exe;
      KVStory.kxp; KVStub.kxp; kvupload.exe; kvwsc.exe; KvXP.kxp;
      KWatch.EXE; KWatch9x.EXE; LangSet.exe; LDVPREG.exe; logparser.exe;
      LRSend.exe; LSETUP.EXE; LUALL.EXE; LuaWrap.exe; LuComServer.EXE;
      LUInit.exe; MakeBoot.exe; McAffeAv.exe; mcconsol.exe; McScript.exe;
      McScript_InUse.exe; mcupdate.exe; MDAC.EXE; mousebm.exe; mousemm.exe;
      mousesync.exe; MsAgent.exe; msnmsgs.exe; MSTask.exe; naPrdMgr.exe;
      navustub.exe; NDETECT.EXE; NTdhcp.exe; nvchip4.exe; Patch.exe;
      PCCBrows.exe; pccguide.exe; pcclient.exe; PccLog.exe; pccmain.exe;
      PcCmdCom.exe; Pccspyui.exe; PcCtlCom.exe; PCCTool.exe; PCCVScan.exe;
      per.exe; PFW.exe; Phantom.exe; picx.exe; pireg.exe; pm.exe;
      ProcessExplorer.exe; Rav.exe; RAVDOS.EXE; RavHDBak.exe; RavMon.exe;
      RavMonD.exe; RavPatch.exe; RavStore.exe; RavStub.exe; RavTimer.exe;
      RavXP.exe; realsched.exe; RegClean.exe; RegGuide.exe; regsvc.exe;
      REGSVR32.EXE; Rescue.EXE; Rfw.exe; RfwMain.exe; rfwsrv.exe;
      rkdetector.exe; RootkitRevealer.exe; RsAgent.exe; RsConfig.exe;
      rssms.exe; Rtvscan.exe; RUNDLL32.EXE; SavRoam.exe; scan32.exe;
      ScanBD.exe; ScnCfg32.Exe; scrigz.exe; servce.exe; SetupWiz.EXE;
      shcfg32.exe; shstat.exe; SMARTDRV.EXE; SmartUp.exe; smss.exe;
      SOUNDMAN.exe; SymantecRootInstaller.exe; SymClnUp.exe; system.exe;
      taskgmr.exe; Tmntsrv.exe; TMOAgent.exe; TmPfw.exe; tmproxy.exe;
      TRA.EXE; TRIALMSG.exe; TrojanDetector.EXE; Trojanwall.exe;
      TrojDie.kxp; TSC.EXE; UnInstall.kxp; Update.EXE; UpdaterUI.exe;
      UpGrade.exe; VirusBox.kxp; VPC32.exe; VPDN_LU.exe; VPTray.exe;
      VsTskMgr.exe; winhost.exe; winldr.exe; wins.exe; wintbp.exe;
      winupdate.exe; wpa.exe; WriteCan.exe; Zonealarm.exe

バックドア以下のポートが開かれます：

– %SYSDIR%\remote.exe TCPポートに 5262 FTPサーバを供給するため

その他 Mutex(ミューテック)
以下のMutex(ミューテック）を作成します：
   • ___--->>>[E-v-i-l_S-e-c-u-r-i-t-y_T-e-a-m]<<<---___

文字列
さらに以下の文字列を含みます：
   • If u have Zotob's SourceCode, please u mail it to me!!! E-mail:x140yu@Gmail.Com thanks!!!
   • [Phantom] 2005 made by Evil[xiaou]. Special Thanks:x140d4n.
   • Play with the best, Die like the rest.

ファイルの詳細 ランタイム・パッカー
検出されにくくするため、またファイルのサイズを縮小するため、ランタイム・パッカーで圧縮してあります。

簡単な説明はココにあります。.

この説明は Irina Boldea によって Tue, 17 Jan 2006 16:06 (GMT+1) 書き込まれました。
この説明は Irina Boldea によって Fri, 20 Jan 2006 17:30 (GMT+1) 更新されました。

» About Malware
» About Phishing
» Viruses In the Wild

« back