TR/Dldr.CWS.S.29 - Trojan

参照

概要

詳しい説明

統計

ウイルス	TR/Dldr.CWS.S.29
発見日：	01/03/2006
タイプ	トロイの木馬
サブタイプ	Downloader
感染報告有り	いいえ
感染報告	低
感染の可能性	低
ダメージ・ポテンシャル	低～中
スタティック・ファイル	はい
ファイル・サイズ	15.872 バイト
MD5　チェックサム	5f064d5069a17385feb54c3092a662db
VDFファージョン：	6.33.01.42 - Wed, 01 Mar 2006 10:53 (GMT+1)

一般情報 感染方法
   • それ自体に伝染能力はない

別名
   • Kaspersky(カスペルスキー) Trojan-Downloader.Win32.CWS.s
   • ビットディフェンダー(Bitdefender)： Trojan.Downloader.CWS.DZ

プラットフォーム/OS：
   • ウインドウズ 95
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • 悪意ファイルをダウンロードします。
   • レジストリの改変。
   • サード・パーティ・コントロール

ファイルそれ自体を以下の場所にコピーします。
   • %WINDIR%\inet20001\services.exe

ファイルにセクションが追加されます。
– 宛先: %SYSDIR%.ini 以下の内容：
   • [Windows]
     load=%WINDIR%\inet20001\services.exe

再起動後先ほどのファイルを実行します。

以下のファイルを消去します。
   • C:\web.exe
   • %ALLUSERSPROFILE%\Start Menu\Programs\Startup\Microsoft Office.hta

ファイルをダウンロードしようとします：

– 場所は以下の通りです：
   • xvideobase.info/gallery20001/xpsystem/**********
ハードディスクの以下のパスにセーヴされます： %WINDIR%\inet20001\winlogon.exe ダウンロードが終了した後、起動されます。詳しい調査の結果、このファイルもマルウェアであることが判明しました。

レジストリ – [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "xp_system"="%WINDIR%\inet20001\services.exe"

– [HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
   • "xp_system"="%WINDIR%\inet20001\services.exe"

以下のキーを追加してbrowser helper object(BHO)を登録します。

– [HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\
   Browser Helper Objects\{5321E378-FFAD-4999-8C62-03CA8155F0B3}]
   • "@" = ""

以下のレジストリ・キーが追加されます：

– [HKCU\Software\Microsoft\Internet Explorer\Main]
   • "Enable Browser Extensions" = "yes"

– [HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows]
   • "run"="%WINDIR%\inet20001\services.exe"

バックドア サーバに接続します。
以下のもの：
   • xvideobase.info/affcgi/**********
   • xvideobase.info/gallery20001/xpsystem/**********
   • thecaty.info/gallery20001/xpsystem/**********
   • vetpool.info/gallery20001/xpsystem/**********

結果、リモート・コントロール機能が生まれます。これはPHPスクリプトを使ったHTTP GETのリクエストを通して行われます。

リモート・コントロール機能
    • ダウンロード・ファイル

ファイルの詳細 ランタイム・パッカー
検出されにくくするため、またファイルのサイズを縮小するため、以下のランタイム・パッカーで圧縮してあります。
• PECompact

簡単な説明はココにあります。.

この説明は Daniel Constantin によって Thu, 09 Mar 2006 10:25 (GMT+1) 書き込まれました。

» About Malware
» About Phishing
» Viruses In the Wild

« back