Worm/Wootbot.117152 - Worm

参照

概要

詳しい説明

統計

ウイルス	Worm/Wootbot.117152
発見日：	01/03/2006
タイプ	ワーム
感染報告有り	いいえ
感染報告	低
感染の可能性	中～高
ダメージ・ポテンシャル	中
スタティック・ファイル	はい
ファイル・サイズ	117.152 バイト
MD5　チェックサム	0e0261b06ec8d8aa1cb5ba6b986eb6fa
VDFファージョン：	6.33.01.05

一般情報 感染方法
   • Eメール
   • ローカル・ネットワーク

別名
   • Symantec(シマンテック) W32.Mytob@mm
   • Kaspersky(カスペルスキー) Backdoor.Win32.Wootbot.gen
   • TrendMicro(トレンドマイクロ） WORM_MYTOB.OP
   • ビットディフェンダー(Bitdefender)： Win32.Worm.Mytob.X.Gen

プラットフォーム/OS：
   • ウインドウズ 95
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • それ自身のメール・エンジンを利用します。
   • レジストリの改変。
   • ソフトの脆弱性を利用します。
   • 情報を盗みます。
   • サード・パーティ・コントロール

ファイルそれ自体を以下の場所にコピーします。
• %SYSDIR%\WinApp32.exe

レジストリ以下のレジストリ・キーは、再起動後にそのプロセスを実行するために追加されたものです：

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "Windows Application 32"="WinApp32.exe"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]
   • "Windows Application 32"="WinApp32.exe"

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "Windows Application 32"="WinApp32.exe"

– [HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce]
   • "Windows Application 32"="WinApp32.exe"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
   • "Windows Application 32"="WinApp32.exe"

以下のレジストリ・キーは、再起動後にそのサービスを読み込むために追加されたものです：

– [HKLM\SYSTEM\CurrentControlSet\Services\shit\Security]
   • "Security"=hex:%hex値%

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SHIT]
   • "NextInstance"=dword:00000001

– [HKLM\SYSTEM\CurrentControlSet\Services\shit\Enum]
   • "0"="Root\\LEGACY_SHIT\\0000"
     "Count"=dword:00000001
     "NextInstance"=dword:00000001

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SHIT\0000]
   • "Service"="shit"
     "Legacy"=dword:00000001
     "ConfigFlags"=dword:00000000
     "Class"="LegacyDriver"
     "ClassGUID"="{8ECC055D-047F-11D1-A537-0000F8753ED1}"
     "DeviceDesc"="Windows Application 32"

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SHIT\0000\Control]
   • "*NewlyCreated*"=dword:00000000
     "ActiveService"="shit"

Eメールそれはメールを送るためSMTPエンジンが搭載されています。送り先のサーバとの直接接続が構築されます。特徴は以下の通りです：

送信者
作成されたアドレスです。送信者は送る意図があって送ったわけではありません。送信者は、感染されたことに気づいていないかもしれませんし、まったく感染していないかもしれません。さらに、あなたが感染されたと告げる多数のメールを受け取る可能性があります。これも真実ではないことがあります。

宛先:
– システム内のあるファイルにあるメールアドレス
– 作成されたアドレス

件名
以下のもの：
   • Your Account is Suspended
   • *WARNING* Your email account is suspended
   • *DETECTED* Online User Violation
   • Your Account is Suspended For Security Reasons
   • Warning Message: Your services near to be closed.
   • Important Notification
   • Members Support
   • We have suspended your account
   • You are banned!!!
   • Security measures
   • Email Account Suspension
   • Notice of account limitation

件名はランダムな文字列になっていることもあります。

本文
メールの本文は以下のうちのどれかです：

   • Some information about your %メールアドレスから取られた受信者のドメイン名% account is attached.

     The %メールアドレスから取られた受信者のドメイン名% Support Team

   • Dear %domain% Member,

     We have temporarily suspended your email account %domain%.

     This might be due to either of the following reasons:

     1. A recent change in your personal information (i.e. change of address).
     2. Submiting invalid information during the initial sign up process.
     3. An innability to accurately verify your selected option of subscription due to an internal error within our processors.
     See the attached details to reactivate your %メールアドレスから取られた受信者のドメイン名% account.

     Sincerely,The %メールアドレスから取られた受信者のドメイン名% Support Team

   • Dear %メールアドレスから取られた受信者のドメイン名% Member,

     Your e-mail account was used to send a huge amount of unsolicited spam messages during the recent week. If you could please take 5-10 minutes out of your online experience and confirm the attached document so you will not run into any future problems with the online service.

     Virtually yours,
     The %メールアドレスから取られた受信者のドメイン名% Support Team

添付ファイル
添付ファイルの名前は以下のものから構成されています：

– 以下のうちのどれかで始まります：
   • account-details
   • account-info
   • account-report
   • document
   • email-details
   • important-details
   • information
   • readme
   • %ランダムな文字列%

    ファイル拡張子は以下のうちのどれかです：
   • zip

添付ファイルはそのマルウェアのコピーを含むアーカイブです。

メールは以下のようなものです：

送信 アドレスの検索：
以下のファイルからメールアドレスを検索します：
   • txt; htm; sht; jsp; cgi; xml; php; asp; dbx; tbb; adb; html; wab

FROM欄のためのアドレス作成
アドレスを作成するのに以下の文字列を使用します：
   • support
   • administrator
   • accounts
   • mail
   • service
   • admin
   • info
   • register
   • webmaster

この結果に、先ほどアドレスを検索されたファイルの中に見つかったドメインをつなげます。

TO欄のためのアドレス作成
アドレスを作成するのに以下の文字列を使用します：
   • adam; alex; andrew; anna; bill; bob; bob; brenda; brent; brian;
      claudia; dan; dave; david; debby; frank; fred; george; helen; jack;
      james; jane; jerry; jim; jimmy; joe; john; jose; josh; julie; kevin;
      leo; linda; maria; mary; matt; michael; michael; mike; paul; peter;
      ray; robert; sales; sam; sandra; serg; smith; stan; steve; ted; tom

この結果に、先ほどアドレスを検索されたファイルの中に見つかったドメインをつなげます。

アドレスは無視します：
以下の文字列を含むアドレスにはメールは送られません：
   • -._!; -._!@; .edu; .gov; .mil; abuse; accoun; acketst; admin; anyone;
      arin.; avp; be_loyal:; berkeley; borlan; bsd; bugs; certific; contact;
      example; fcnz; feste; fido; foo.; fsf.; gnu; gold-certs; google; gov.;
      help; hotmail; iana; ibm.com; icrosof; icrosoft; ietf; info; inpris;
      isc.o; isi.e; kernel; linux; listserv; math; mit.e; mozilla; msn.;
      mydomai; nobody; nodomai; noone; not; nothing; ntivi; page; panda;
      pgp; postmaster; privacy; rating; rfc-ed; ripe.; root; ruslis;
      samples; secur; sendmail; service; site; soft; somebody; someone;
      sopho; spm; submit; support; syma; tanford.e; the.bat; unix; usenet;
      utgers.ed; webmaster; www; you; your

MX文字列を前に入れます：
メールサーバのIPアドレスを取るために、以下の文字列をドメイン名の前に入れます：
   • mx.
   • mail.
   • smtp.
   • mx1.
   • mxs.
   • mail1.
   • relay.
   • ns.
   • gate.

ネットワーク感染感染を確かなものにするために、マルウェアは以下のように他のマシンに接続しようとします。

以下のネットワーク・シェアにそれ自身のコピーを作成します：
• IPC$

エクスプロイト(Exploit)
以下のエクスプロイト(Exploit)を利用します：
– MS04-007 (ASN .1 の脆弱性により、コードが実行される)
– MS04-011 (LSASSの脆弱性)

感染プロセス
リモートロケーションにマルウェアをダウンロードするため、侵入したマシンにFTPスクリプトを作成します。

IRC システム情報を報告し、リモートコントロールを可能にするために以下のIRCサーバに接続します：

サーバ 64.125.**********
ポート： 6667
チャンネル #exp

– このマルウェアは以下の情報を収集し送る能力があります：
    • CPU速度
    • ログインしているユーザ
    • マルウェアの起動時間
    • ネットワークについての情報
    • メモリサイズ
    • ウインドウズOSについての情報

– その他以下のアクションを実行することもできます：
    • DDoS ICMP flood 攻撃を開始します。
    • ダウンロード・ファイル
    • リモートシェルを開く
    • ネットワーク・スキャンの実行
    • ポート転送を実行する
    • システム再起動
    • メールを送る
    • システムをシャットダウンする
    • 伝染ルーチンの開始

バックドア – WinApp32.exe 無作為に選ばれたTCPポート上に FTPサーバを供給するため

窃盗以下の情報を盗もうとします：

– 以下の文字列をチェックするネットワーク・スニファーを利用します。
   • :.login; :!login; :!Login; :.Login; :.ident; :!ident; :.ipscan;
      :.advscan; :!advscan; :.secure; OPER; NICK; oper; USER; PASS; paypal;
      PAYPAL; passwd=; password=; login=; pass=; VISA=; mastercard=; visa=;
      amex=; ccnumber=; cctype=; card=; cvv2=; ccv2=; card=; CVV2=;
      address=; exp=; email=; account=; PAYPAL.COM; paypal.com

その他 ネットワークシェア
以下のネットワークシェアは削除されます：
   • c$
   • d$
   • ipc$
   • admin$

ファイルの詳細 ランタイム・パッカー
検出されにくくするため、またファイルのサイズを縮小するため、以下のランタイム・パッカーで圧縮してあります。
• FSG

簡単な説明はココにあります。.

この説明は Iulia Diaconescu によって Wed, 01 Mar 2006 17:40 (GMT+1) 書き込まれました。
この説明は Iulia Diaconescu によって Thu, 02 Mar 2006 13:24 (GMT+1) 更新されました。

» About Malware
» About Phishing
» Viruses In the Wild

« back