Worm/Sober.P - Worm

参照

概要

詳しい説明

統計

ウイルス	Worm/Sober.P
発見日：	02/05/2005
タイプ	ワーム
感染報告有り	はい
感染報告	中
感染の可能性	中
ダメージ・ポテンシャル	中
スタティック・ファイル	いいえ
ファイル・サイズ	53.554 バイト
VDFファージョン：	6.30.00.151
ヒューリスティック：	Worm/Sober.gen

一般情報 感染方法
   • Eメール

別名
   • Symantec(シマンテック) W32.Sober.O@mm
   • McAfee(マカフィー) W32/Sober.p@MM
   • Kaspersky(カスペルスキー) Email-Worm.Win32.Sober.p
   • TrendMicro(トレンドマイクロ） WORM_SOBER.S
   • Sophos(ソフォス) W32/Sober-N
   • Panda W32/Sober.V.worm!CME-456
   • Grisoft I-Worm/Sober.P
   • ビットディフェンダー(Bitdefender)： Win32.Sober.O@mm

プラットフォーム/OS：
   • ウインドウズ 95
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • 悪意ファイルをダウンロードします。
   • ファイルを作成します。
   • それ自身のメール・エンジンを利用します。
   • レジストリの改変。

起動後以下の情報が表示されます：

ファイルそれ自体を以下の場所にコピーします。
   • %WINDIR%\Connection Wizard\Status\csrss.exe
   • %WINDIR%\Connection Wizard\Status\smss.exe
   • %WINDIR%\Connection Wizard\Status\services.exe

以下のファイルが作成されます：

– このファイルをMIMEでエンコードしたコピー
   • %WINDIR%\Connection Wizard\Status\packed1.sbr
   • %WINDIR%\Connection Wizard\Status\packed2.sbr
   • %WINDIR%\Connection Wizard\Status\packed3.sbr

– 収集したメールアドレスを含んだファイル
   • %WINDIR%\Connection Wizard\Status\sacri1.ggg
   • %WINDIR%\Connection Wizard\Status\sacri1.ggg
   • %WINDIR%\Connection Wizard\Status\sacri1.ggg
   • %WINDIR%\Connection Wizard\Status\voner1.von
   • %WINDIR%\Connection Wizard\Status\voner2.von
   • %WINDIR%\Connection Wizard\Status\voner3.von

– このファイルは一時的に使用されるタイプで、後で消去される可能性があります。
   • %WINDIR%\Connection Wizard\Status\kjfdmcge.ano

– %WINDIR%\Connection Wizard\Status\fastso.ber

ファイルをダウンロードしようとします：

NTPプロトコル経由で行われる時間の同期構築は以下の時点で引き起こされます。
日付： 10/05/2005

– 場所は以下の通りです：
   • http://free.pages.at/tllqjirbsi/**********
   • http://home.arcor.de/cqxecyrdhsi/**********
   • http://home.pages.at/vvhrcihcegtecf/**********
   • http://people.freenet.de/dscpxgtcufas/**********
   • http://people.freenet.de/hiigplbjat/**********
   • http://people.freenet.de/lqmjaveww/**********
   • http://people.freenet.de/xqzzvnnaxwiu/**********
   • http://people.freenet.de/ygdgyndzzbm/**********
   • http://scifi.pages.at/riwbagyixmzg/**********
ダウンロードが終了した後、起動されます。詳しい調査の結果、このファイルもマルウェアであることが判明しました。

レジストリ以下のレジストリ・キーは、再起動後にそのプロセスを実行するために追加されたものです：

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
• "_WinStart"="c:\windows\\Connection Wizard\\Status\\services.exe"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
• " WinStart"="c:\windows\\Connection Wizard\\Status\\services.exe"

Eメールそれはメールを送るためSMTPエンジンが搭載されています。送り先のサーバとの直接接続が構築されます。特徴は以下の通りです：
メールの言語はTLD(Top Level Domain)に従って選択されます。

送信者
送信者のアドレスは改変されています(spoof)。
作成されたアドレスです。送信者は送る意図があって送ったわけではありません。送信者は、感染されたことに気づいていないかもしれませんし、まったく感染していないかもしれません。さらに、あなたが感染されたと告げる多数のメールを受け取る可能性があります。これも真実ではないことがあります。

宛先:
– システム内のあるファイルにあるメールアドレス

件名
メールの件名は以下の中から構成されます：

    以下のうちのどれかから始まることがあります：
   • FwD:

    以下のうちのどれかが続きます：
   • Glueckwunsch: Ihr WM Ticket
   • Ich bin's, was zum lachen ;)
   • Ihr Passwort
   • Ihre E-Mail wurde verweigert
   • Mail-Fehler!
   • mailing error
   • Re:
   • Registration Confirmation
   • WM Ticket Verlosung
   • WM-Ticket-Auslosung
   • Your email was blocked
   • Your Password

本文
メールの本文は以下のうちのどれかです：

   • Account and Password Information are attached!

   • Diese E-Mail wurde automatisch erzeugt
     Mehr Information finden Sie unter http://www.%メールアドレスから取られた送信者のドメイン名と最上位ドメイン%

     ----------
     Folgende Fehler sind aufgetreten:

     Fehler konnte nicht Explicit ermittelt werden

     End Transmission
     ----------

     Aus Datenschutzrechtlichen Gruenden, muss die vollstaendige E-Mail incl. Daten gezippt & angehaengt werden.
     Wir bitten Sie, dieses zu beruecksichtigen.

     Auto ReMailer
      [%メールアドレスから取られた送信者のドメイン名%]

   • Nun sieh dir das mal an!
     Was ein Ferkel ....

   • ok ok ok,,,,, here is it

   • Passwort und Benutzer-Informationen befinden sich in der beigefuegten Anlage.


     *-* http://www.%メールアドレスから取られた送信者のドメイン名と最上位ドメイン%
     *-* MailTo: PasswordHelp@%メールアドレスから取られた送信者のドメイン名と最上位ドメイン%

   • This is an automatically generated E-Mail Delivery Status Notification.

     Mail-Header, Mail-Body and Error Description are attached

   • Herzlichen Glueckwunsch,

     beim Run auf die begehrten Tickets für die 64 Spiele der Weltmeisterschaft 2006 in Deutschland sind Sie dabei.

     Weitere Details ihrer Daten entnehmen Sie bitte dem Anhang.

     Ihr "ok2006" Team
     St. Rainer Gellhaus


     --- FIFA-Pressekontakt:
     --- Pressesprecher Jens Grittner und Gerd Graus
     --- FIFA Fussball-Weltmeisterschaft 2006
     --- Organisationskomitee Deutschland
     --- Tel. 069 / 2006 - 2600
     --- Jens.Grittner@ok2006.de
     --- Gerd.Graus@ok2006.de

以下のものが続くことがあります：

   • Visit: http://www.%メールアドレスから取られた送信者のドメイン名と最上位ドメイン%

以下のうちのどれかが続くことがあります：

   • **** AntiVirus-System: Kein Virus erkannt
     **** "%メールアドレスから取られた受信者のドメイン名%" AntiVirus Service
     **** WebSite: http://www.%メールアドレスから取られた受信者のドメイン名と最上位ドメイン%

   • *** AntiVirus: No Virus found
     *** "%メールアドレスから取られた受信者のドメイン名%" Anti-Virus
     *** http://www.%メールアドレスから取られた受信者のドメイン名と最上位ドメイン%

   • *** Server-AntiVirus: No Virus (Clean)
     *** "%メールアドレスから取られた受信者のドメイン名%" Anti-Virus
     *** http://www.%メールアドレスから取られた受信者のドメイン名と最上位ドメイン%

   • *** Attachment-Scanner: Status OK
     *** "%メールアドレスから取られた受信者のドメイン名%" Anti-Virus
     *** http://www.%メールアドレスから取られた受信者のドメイン名と最上位ドメイン%

   • **** AntiVirus: Kein Virus gefunden
     **** "%メールアドレスから取られた受信者のドメイン名%" AntiVirus Service
     **** WebSite: http://www.%メールアドレスから取られた受信者のドメイン名と最上位ドメイン%

   • **** Mail-Scanner: Es wurde kein Virus festgestellt
     **** "%メールアドレスから取られた受信者のドメイン名%" AntiVirus Service
     **** WebSite: http://www.%メールアドレスから取られた受信者のドメイン名と最上位ドメイン%

添付ファイル
添付ファイルの名前は：
   • account_info.zip
   • account_info-text.zip
   • autoemail-text.zip
   • error-mail_info.zip
   • Fifa_Info-Text.zip
   • LOL.zip
   • mail_info.zip
   • okTicket-info.zip
   • our_secret.zip
   • %メールアドレスから取られた送信者のドメイン名%_PassWort-Info.zip

添付ファイルはそのマルウェアのコピーを含むアーカイブです。

送信 アドレスの検索：
以下のファイルからメールアドレスを検索します：
   • .abc; .abd; .abx; .adb; .ade; .adp; .adr; .asp; .bak; .bas; .cfg;
      .cgi; .cls; .cms; .csv; .ctl; .dbx; .dhtm; .doc; .dsp; .dsw; .eml;
      .fdb; .frm; .hlp; .imb; .imh; .imm; .inbox; .ini; .jsp; .ldb; .ldif;
      .log; .mbx; .mda; .mdb; .mde; .mdw; .mdx; .mht; .mmf; .msg; .nab;
      .nch; .nfo; .nsf; .nws; .ods; .oft; .php; .phtm; .pl; .pmr; .pp; .ppt;
      .pst; .rtf; .shtml; .slk; .sln; .stm; .tbb; .txt; .uin; .vap; .vbs;
      .vcf; .wab; .wsh; .xhtml; .xls; .xml

FROM欄のためのアドレス作成
アドレスを作成するのに以下の文字列を使用します：
   • FIFA
   • Gewinn
   • fifa
   • WM-Ticket
   • OK2006
   • Ticket
   • Verlosung
   • Administrator

上記のドメイン表と同じものを利用します。

ドメインは以下の通りです：
   • ok2006.de
   • fifa.de
アドレスを作成するのに以下の文字列を使用します：
   • service
   • webmaster
   • register
   • hostmaster
   • postmaster
   • Admin
   • info

アドレスは無視します：
以下の文字列を含むアドレスにはメールは送られません：
   • -dav; .dial.; .kundenserver.; .ppp.; .qmail@; .sul.t-; @arin; @avp;
      @ca.; @example.; @foo.; @from.; @gmetref; @iana; @ikarus.; @kaspers;
      @messagelab; @nai.; @panda; @smtp.; @sophos; @www; abuse; announce;
      antivir; anyone; anywhere; bellcore.; bitdefender; clock; detection;
      domain.; emsisoft; ewido.; free-av; freeav; ftp.; gold-certs; google;
      host.; icrosoft.; ipt.aol; law2; linux; mailer-daemon; mozilla;
      mustermann@; nlpmail01.; noreply; nothing; ntp-; ntp.; ntp@; office;
      password; postmas; reciver@; secure; service; smtp-; somebody;
      someone; spybot; sql.; subscribe; support; t-dialin; t-ipconnect;
      test@; time; user@; variabel; verizon.; viren; virus; whatever@;
      whoever@; winrar; winzip; you@; yourname

その他 時間調整
ローカルタイムにあわせるために、NTPサーバをポート37につなげます：
   • ntp.massayonet.com.br
   • ntp.metas.ch
   • ntp.pads.ufrj.br
   • ntp1.arnes.si
   • ntp-2.ece.cmu.edu
   • ntp3.fau.de
   • ntp-sop.inria.fr
   • Rolex.PeachNet.edu
   • rolex.usg.edu
   • sundial.columbia.edu
   • time.nist.gov
   • time.xmission.com
   • time-a.timefreq.bldrdoc.gov

ファイルの詳細 プログラム言語:
このマルウェアプログラムはVisual Basicで書かれています。

ランタイム・パッカー
検出されにくくするため、またファイルのサイズを縮小するため、以下のランタイム・パッカーで圧縮してあります。
• UPX

簡単な説明はココにあります。.

この説明は Andrei Ivanes によって Fri, 07 Apr 2006 17:40 (GMT+1) 書き込まれました。
この説明は Andrei Ivanes によって Wed, 12 Apr 2006 09:55 (GMT+1) 更新されました。

» About Malware
» About Phishing
» Viruses In the Wild

« back