Worm/NetSky.#1 - Worm

参照

概要

詳しい説明

統計

ウイルス	Worm/NetSky.#1
発見日：	05/04/2004
タイプ	ワーム
感染報告有り	いいえ
感染報告	低
感染の可能性	中
ダメージ・ポテンシャル	低
スタティック・ファイル	はい
ファイル・サイズ	18.432 バイト
MD5　チェックサム	ff05ddc00C74ef41157a2552af455e59
VDFファージョン：	6.24.00.87 - Mon, 05 Apr 2004 17:00 (GMT+1)

一般情報 感染方法
   • Eメール

別名
   • Symantec(シマンテック) W32.Netsky.T@mm
   • McAfee(マカフィー) W32/Netsky.t@MM
   • Kaspersky(カスペルスキー) Email-Worm.Win32.NetSky.t
   • TrendMicro(トレンドマイクロ） WORM_NETSKY.T
   • F-Secure(エフ・セキュア) W32/Netsky.T@mm
   • Sophos(ソフォス) W32/Netsky-T
   • Grisoft I-Worm/Netsky.T
   • ウイルスバスター iworm I-Worm.Netsky.U
   • ビットディフェンダー(Bitdefender)： Win32.NetSky.T@mm

プラットフォーム/OS：
   • ウインドウズ 95
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • それ自身のメール・エンジンを利用します。
   • レジストリの改変。

ファイルそれ自体を以下の場所にコピーします。
• %WINDIR%\EasyAV.exe

以下のファイルが作成されます：

– このファイルをMIMEでエンコードしたコピー
• %WINDIR%\uinmzertinmds.opm

レジストリ以下のレジストリ・キーが、再起動後そのプロセスを実行するため、無限ループの中に持続的に追加されます：

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
• "EasyAV"="%WINDIR%\EasyAV.exe"

Eメールそれはメールを送るためSMTPエンジンが搭載されています。送り先のサーバとの直接接続が構築されます。特徴は以下の通りです：

送信者
送信者のアドレスは改変されています(spoof)。

宛先:
– システム内のあるファイルにあるメールアドレス

件名
メールの件名は以下の中から構成されます：

    以下のうちのどれかから始まることがあります：
   • Re:

    以下のうちのどれかが続きます：
   • Important
   • My details
   • Your information
   • Your details
   • Your document
   • Request
   • Thank you!
   • Approved
   • Hello
   • account
   • postcard
   • sample
   • developement
   • concept
   • story
   • report
   • icq number
   • e-mail
   • phone number
   • personal message
   • photo document
   • order
   • important document
   • diggest
   • final version
   • release
   • answer
   • bill
   • notice
   • requested document
   • description
   • summary
   • picture document
   • movie document
   • approved document
   • old document
   • document
   • mail
   • letter
   • homepage
   • detailed document
   • powerpoint document
   • excel document
   • word document
   • info
   • information
   • text
   • new document
   • textfile
   • user list
   • improved file
   • secound document
   • file
   • number list
   • contact list
   • message
   • note
   • improved document
   • details
   • instructions
   • presentation document
   • abuse list
   • archive
   • corrected document
   • list
   • approved file

本文
メールの本文は以下のうちのどれかです：

   • Hello!

   • Hi!

以下のうちのどれかが続くことがあります：

   • Your file is attached to this mail.

   • Please read the attached document.

   • Please have a look at the attached document.

   • See the document for details.

   • Here is the document.

   • Note that I have attached your document.

   • I have spent much time for your document.

   • Please notice the attached document.

   • My is attached.

   • Your is attached

   • I have found the

   • Please notice the attached

   • I have spent much time for the

   • Please read quickly.

   • For more details see the attached document.

   • For more information see the attached document.

   • Approved, here is the document.

   • The requested is attached!

   • I have sent the .

   • Please see the .

   • The is attached.

   • Here is the .

   • Please have a look at the .

   • Please read the .

   • Please, .

   • My .

   • The .

   • Your .

以下のうちのどれかが続くことがあります：

   • Yours sincerely


   • Thank you


   • Thanks

%replacement 1% は以下のうちのどれかに取り替えられます:    • account; postcard; sample; developement; concept; story; report; icq
      number; e-mail; phone number; personal message; photo document; order;
      important document; diggest; final version; release; answer; bill;
      notice; requested document; description; summary; picture document;
      movie document; approved document; old document; document; mail;
      letter; homepage; detailed document; powerpoint document; excel
      document; word document; info; information; text; new document;
      textfile; user list; improved file; secound document; file; number
      list; contact list; message; note; improved document; details;
      instructions; presentation document; abuse list; archive; corrected
      document; list; approved file; report

添付ファイル
添付ファイルの名前は：
   • account%番号% .pif; postcard%番号% .pif;
      sample%番号% .pif; developement%番号% .pif;
      concept%番号% .pif; story%番号% .pif;
      report%番号% .pif; icq_number%番号% .pif;
      e-mail%番号% .pif; phone number%番号% .pif;
      personal_message%番号% .pif; photo_document%番号%
      .pif; order%番号% .pif; important_document%番号%
      .pif; diggest%番号% .pif; final_version%番号%
      .pif; release%番号% .pif; answer%番号% .pif;
      bill%番号% .pif; notice%番号% .pif;
      requested_document%番号% .pif; description%番号%
      .pif; summary%番号% .pif; picture_document%番号%
      .pif; movie_document%番号% .pif;
      approved_document%番号% .pif; old_document%番号%
      .pif; document%番号% .pif; mail%番号% .pif;
      letter%番号% .pif; homepage%番号% .pif;
      detailed_document%番号% .pif; powerpoint_document%番号%
       .pif; excel_document%番号% .pif;
      word_document%番号% .pif; info%番号% .pif;
      information%番号% .pif; text%番号% .pif;
      new_document%番号% .pif; textfile%番号% .pif;
      user_list%番号% .pif; improved_file%番号% .pif;
      secound_document%番号% .pif; file%番号% .pif;
      number_list%番号% .pif; contact_list%番号% .pif;
      message%番号% .pif; note%番号% .pif;
      improved_document%番号% .pif; details%番号% .pif;
      instructions%番号% .pif; presentation_document%番号%
      .pif; abuse_list.%番号% .pif; archive%番号%
      .pif; corrected_document%番号% .pif; list%番号%
      .pif; approved_file%番号% .pif

添付ファイルは、マルウェア自身のコピーです。

送信 アドレスの検索：
以下のファイルからメールアドレスを検索します：
   • ppt; nch; mmf; mht; xml; wsh; jsp; xls; stm; ods; msg; oft; sht; html;
      htm; pl; dbx; tbb; adb; dhtm; cgi; shtm; uin; rtf; vbs; doc; wab; asp;
      mdx; mbx; cfg; php; txt; eml

バックドア以下のポートが開かれます：

– %実行ファイル% TCPポートに 6789

DoS に 14/04/2004 まで 17/04/2004 以下の宛先にDoS攻撃を開始します。
   • www.keygen.us
   • www.freemule.net
   • www.kazaa.com
   • www.emule.de
   • www.cracks.am

その他 Mutex(ミューテック)
以下のMutex(ミューテック）を作成します：
   • SyncMutex_USUkUyUnUeUtU
   • Protect_USUkUyUnUeUtU_Mutex

文字列
さらに以下の文字列を含みます：
   • Now we have programmed our backdoor, it cannot be used for spam relaying, only for Skynet distribution, our advice: educate the users or update the smtp protocol, and heuristics cannot detect Skynet, becauses numerous scambler, compressors, and protectors exists including programming new features. Thanks to russia, and thanks to CCC for support. 09:34 A.M, Russia

ファイルの詳細 プログラム言語:
このマルウェアプログラムはMS Visual C++で書かれています。

ランタイム・パッカー
検出されにくくするため、またファイルのサイズを縮小するため、以下のランタイム・パッカーで圧縮してあります。
• UPX

簡単な説明はココにあります。.

この説明は Ionut Slaveanu によって Thu, 04 May 2006 13:31 (GMT+1) 書き込まれました。
この説明は Cosmin Ancuta によって Fri, 05 May 2006 18:10 (GMT+1) 更新されました。

» About Malware
» About Phishing
» Viruses In the Wild

« back