Worm/Bagle.FK - Worm

参照

概要

詳しい説明

統計

ウイルス	Worm/Bagle.FK
発見日：	09/02/2006
タイプ	ワーム
感染報告有り	はい
感染報告	低
感染の可能性	中～高
ダメージ・ポテンシャル	低
スタティック・ファイル	いいえ
ファイル・サイズ	~ 26.000 バイト
VDFファージョン：	6.33.00.215 - Thu, 09 Feb 2006 13:19 (GMT+1)

一般情報 感染方法
   • Eメール
   • P2P(ピアツーピア)

別名
   • ビットディフェンダー(Bitdefender)： Trojan.Downloader.Bagle.EO

プラットフォーム/OS：
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • 悪意ファイルを作成します。
   • それ自身のメール・エンジンを利用します。
   • レジストリの改変。

起動後以下の情報が表示されます：

ファイルそれ自体を以下の場所にコピーします。
   • %SYSDIR%\regmaping.exe

元のデータと外見を異なるものにするために、任意のバイトを付け加えます。
   • %SYSDIR%\regmaping.exeopen
   • %SYSDIR%\regmaping.exeopenopen

以下のファイルが作成されます：

– %WINDIR%\winresw.exe 作成が完了した後、起動されます。詳しい調査の結果、このファイルもマルウェアであることが判明しました。以下のように検出されました： Worm/Bagle.FJ.2

レジストリ以下のレジストリ・キーは、再起動後にそのプロセスを実行するために追加されたものです：

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "Regmonitor"="%SYSDIR%\regmaping.exe"

以下のレジストリ・キーの値が消えています：

– [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • 9XHtProtect
   • Antivirus
   • EasyAV
   • FirewallSvr
   • HtProtect
   • ICQ Net
   • ICQNet
   • Jammer2nd
   • KasperskyAVEng
   • MsInfo
   • My AV
   • NetDy
   • Norton Antivirus AV
   • PandaAVEngine
   • service
   • SkynetsRevenge
   • Special Firewall Service
   • SysMonXP
   • Tiny AV
   • Zone Labs Client Ex

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • 9XHtProtect
   • Antivirus
   • EasyAV
   • FirewallSvr
   • HtProtect
   • ICQ Net
   • ICQNet
   • Jammer2nd
   • KasperskyAVEng
   • MsInfo
   • My AV
   • NetDy
   • Norton Antivirus AV
   • PandaAVEngine
   • service
   • SkynetsRevenge
   • Special Firewall Service
   • SysMonXP
   • Tiny AV
   • Zone Labs Client Ex

Eメールそれはメールを送るためSMTPエンジンが搭載されています。送り先のサーバとの直接接続が構築されます。特徴は以下の通りです：

宛先:
– システム内のあるファイルにあるメールアドレス

件名
以下のもの：
   • Your Receipt %ランダムにいくつか選ばれた0から9までの数%
   • Billing department, order %ランダムにいくつか選ばれた0から9までの数%
   • Order reminder: ID %ランダムにいくつか選ばれた0から9までの数%

本文
メールの本文は以下のうちのどれかです：

   • ******************************************************************

     Details about your reciept attached with this email. You have to use Adobe Acrobat Reader to open it.

     Transaction Number: %ランダムにいくつか選ばれた0から9までの数%
     This is your receipt for your $1490 purchase of a 1.0 months
     subscription which will appear on your statement as %ランダムにいくつか選ばれた0から9までの数%.
     Your membership will automatically renew per the terms and conditions.

     Should you ever have any
     problems whatsoever, please don't hesitate to contact our live technical support staff - available 24 hours a day 7 days a week. We can be reached by phone toll free in the US at 800-534-8593. Rather use email?
     Drop us a line at bill@gmail.com and we'll always get back to you within an hour.

     Enjoy the service?
     Support

     ******************************************************************

   • Your email %受信者のメールアドレス% has exceeded its
bandwidth quota in the period beginning on 2006-01-01.
Your quota is set to 10485760 bytes (10.0 MB), and
your email has consumed 559189702 bytes (533.285 MB) beyond that quota.

Our over-bandwidth charges are
Additional Bandwidth/Month Monthly Cost
100 Mb $200.00
200 MB $360.00
300 MB $480.00
400 MB $624.00
500 Mb $740.00 <- your over-usage
600 Mb $850.00

Our automatically generated bill is attached with this email.

Sincerely,
Sales Manager.



   • Dear Sir or Madam,

     This notification is just a friendly reminder (not a bill or a second charge) that on 15-JAN-06, you placed an order from Symantec Store. This order was paid using your Visa, whose last 4 digits are ************2346, and will be appearing on your billing statement shortly. The charge will appear as DR *Symantec. This is just a reminder to help you recognize the charge. You will not be charged again.
     You antivirus definition file is attached to this email, please install it to be perfectly protected from the latest viruses and other internet threats.

添付ファイル
添付ファイルの名前は：
   • Order_details.exe
   • Service_receipt.exe
   • Generated_bill.exe

添付ファイルは、マルウェア自身のコピーです。

送信 アドレスの検索：
以下のファイルからメールアドレスを検索します：
   • .wab; .txt; .msg; .htm; .shtm; .stm; .xml; .dbx; .mbx; .mdx; .eml;
      .nch; .mmf; .ods; .cfg; .asp; .php; .wsh; .adb; .tbb; .sht; .xls;
      .oft; .uin; .cgi; .mht; .dhtm; .jsp

アドレスは無視します：
以下の文字列を含むアドレスにはメールは送られません：
   • @hotmail; @msn; @microsoft; rating@; f-secur; news; update; anyone@;
      bugs@; contract@; feste; gold-certs@; help@; info@; nobody@; noone@;
      kasp; admin; icrosoft; support; ntivi; unix; bsd; linux; listserv;
      certific; sopho; @foo; @iana; free-av; @messagelab; winzip; google;
      winrar; samples; abuse; panda; cafee; spam; pgp; @avp.; noreply;
      local; root@; postmaster@

P2P P2P(ピアツーピア)ネットワーク内の他のシステムに感染するため、以下のアクションを実行します：   以下のサブストリング(substring)を含むディレクトリを検索します：
   • shar

   成功すると、以下のファイルが作成されます：
   • Adobe Photoshop 9 full.exe; Ahead Nero 10.exe; anna benson sex
      video.exe; barrett jackson nude photos, movies, porn video.exe;
      Britney Spears sex photos.exe; IE beta 7.exe; jenna elfman sex anal
      deepthroat; kate beckinsale nude pictures.exe; miss america Porno,
      sex, oral, anal cool, awesome!!.exe; paris hilton Porno pics arhive,
      xxx.exe; Porno Screensaver.scr; Serials 2005 database.exe;
      Serials.txt.exe; Windown Vista Beta Leak.exe; Windows Sourcecode
      update.doc.exe; XXX hardcore images.exe

   それらのファイルはこのマルウェアのコピーです。

バックドア以下のポートが開かれます：

– %SYSDIR%\regmaping.exe TCPポートに 6777

サーバに接続します。
以下のもの：
• http://ijj.t**********

結果、いくつかの情報を送る可能性があります。

以下についての情報を送ります：
• 現在のマルウェアのステータス

その他 Mutex(ミューテック)
以下のMutex(ミューテック）を作成します：
   • MuXxXxTENYKSDesignedAsTheFollowerOfSkynet-D
   • 'D'r'o'p'p'e'd'S'k'y'N'e't'
   • _-oOaxX|-+S+-+k+-+y+-+N+-+e+-+t+-|XxKOo-_
   • [SkyNet.cz]SystemsMutex
   • AdmSkynetJklS003
   • ____--->>>>U<<<<--____
   • _-oO]xX|-S-k-y-N-e-t-|Xx[Oo-_
   • smtp_bagla_1000

文字列
さらに以下の文字列を含みます：
   • In a difficult world
In a nameless time
I want to survive
So, you will be mine!!
-- Bagle Author, 29.04.04, Germany.

ファイルの詳細 ランタイム・パッカー
検出されにくくするため、またファイルのサイズを縮小するため、以下のランタイム・パッカーで圧縮してあります。
• UPX

簡単な説明はココにあります。.

この説明は Andrei Ivanes によって Thu, 09 Feb 2006 14:59 (GMT+1) 書き込まれました。
この説明は Andrei Ivanes によって Fri, 10 Feb 2006 10:35 (GMT+1) 更新されました。

» About Malware
» About Phishing
» Viruses In the Wild

« back