Worm/Mydoom.M.unp - Worm

参照

概要

詳しい説明

統計

ウイルス	Worm/Mydoom.M.unp
発見日：	26/07/2004
タイプ	ワーム
感染報告有り	はい
感染報告	低
感染の可能性	中
ダメージ・ポテンシャル	低～中
スタティック・ファイル	はい
ファイル・サイズ	41.408 バイト
MD5　チェックサム	6e821a45f567011c1aa88822efc14193
VDFファージョン：	6.26.00.44 - Mon, 26 Jul 2004 16:51 (GMT+1)

一般情報 感染方法
   • Eメール

別名
   • Symantec(シマンテック) W32.Mydoom.AZ@mm
   • McAfee(マカフィー) W32/Mydoom.o@MM
   • Kaspersky(カスペルスキー) Email-Worm.Win32.Mydoom.am
   • TrendMicro(トレンドマイクロ） WORM_MYDOOM.M
   • Sophos(ソフォス) W32/MyDoom-BC
   • Grisoft I-Worm/Mydoom
   • ウイルスバスター I-Worm.Mydoom.AJ1
   • Eset Win32/Mydoom.AX
   • ビットディフェンダー(Bitdefender)： Win32.Mydoom.AQ@mm

プラットフォーム/OS：
   • ウインドウズ 95
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • それ自身のメール・エンジンを利用します。
   • セキュリティの設定を低くします。
   • レジストリの改変。
   • ソフトの脆弱性を利用します。

ファイルそれ自体を以下の場所にコピーします。
• %WINDIR%\java.exe

以下のファイルが作成されます：

– %WINDIR%\services.exe 作成が完了した後、起動されます。詳しい調査の結果、このファイルもマルウェアであることが判明しました。以下のように検出されました： Tr/Mydoom.BB.1

ファイルをダウンロードしようとします：

– 場所は以下の通りです：
• www.imogenheap.co.uk/iblog/**********
これを書き込んだ時点で、インターネット上でこのファイルにアクセスできなかったため、詳しい調査ができませんでした。

レジストリ以下のレジストリ・キーは、再起動後にそのプロセスを実行するために追加されたものです：

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
• "JavaVM"="%WINDIR%\java.exe"

Eメールそれはメールを送るためSMTPエンジンが搭載されています。送り先のサーバとの直接接続が構築されます。特徴は以下の通りです：

送信者
送信者のアドレスは改変されています(spoof)。
作成されたアドレスです。送信者は送る意図があって送ったわけではありません。送信者は、感染されたことに気づいていないかもしれませんし、まったく感染していないかもしれません。さらに、あなたが感染されたと告げる多数のメールを受け取る可能性があります。これも真実ではないことがあります。

宛先:
– システム内のあるファイルにあるメールアドレス
– ウインドウズ・アドレス帳(WAB)を使って集められたメールアドレス
– 検索エンジンを使って収集されたアドレス

件名
以下のもの：
   • hello
   • error
   • status
   • test
   • report
   • delivery failed
   • Message could not be delivered
   • Mail System Error - Returned Mail
   • Delivery reports about your e-mail
   • Returned mail: see transcript for details
   • Returned mail: Data format error

件名はランダムな文字列になっていることもあります。

本文
–  これはregular expressionで構成されます.
– 空欄であることもあります。
– 本文はランダムな文字列を含むこともあります。

メールの本文は以下のうちのどれかです：

   • Dear user { %受信者のメールアドレス% |of %受信者のドメイン% },{ {{M|m}ail {system|server} administrator|administration} of %受信者のドメイン% would like to {inform you{ that{:|,}|}|let you know {that|the following}{.|:|,}}|||||}

     {We have {detected|found|received reports} that y|Y}our {e{-|}mail |}account {has been|was} used to send a {large|huge} amount of {{unsolicited{ commercial|}|junk} e{-|}mail|spam}{ messages|} during {this|the {last|recent}} week.
     {We suspect that|Probably,|Most likely|Obviously,} your computer {had been|was} {compromised|infected{ by a recent v{iru}s|}} and now {run|contain}s a {trojan{ed|}|hidden} proxy server.
     {Please|We recommend {that you|you to}} follow {our |the |}instruction{s|} {in the {attachment|attached {text |}file} |}in order to keep your computer safe.

     {{Virtually|Sincerely} yours|Best {wishe|regard}s|Have a nice day},

     {%受信者のドメイン% {user |technical |}support team.|The %受信者のドメイン% {support |}team.}

   • {The|This|Your} message was{ undeliverable| not delivered} due to the following reason{(s)|}:

     Your message {was not|could not be} delivered because the destination {computer|server} was {not |un}reachable within the allowed queue period. The amount of time a message is queued before it is returned depends on local configuration parameters.
     Most likely there is a network problem that prevented delivery, but it is also possible that the computer is turned off, or does not have a mail system running right now.

     Your message {was not|could not be} delivered within %番号% days:
     {{{Mail s|S}erver}|Host} %ランダムなIP アドレス% is not responding.

     The following recipients {did|could} not receive this message
      %送信者のメールアドレス%

     Please reply to postmaster@{%送信者のドメイン% |%受信者のドメイン%} if you feel this message to be in error

   • The original message was received at %現在の日付%{| }from {%送信者のドメイン% [%ランダムなIP アドレス% ]}

     ----- The following addresses had permanent fatal errors -----

     {<%受信者のドメイン%>|%受信者のドメイン%}

     {----- Transcript of {the ||}session follows -----

     ... while talking to {host |{mail |}server ||||}{%受信者のドメイン%.|%ランダムなIP アドレス% }:

     {>>> MAIL F{rom|ROM}:%送信者のドメイン%

     <<< 50%番号% {%送信者のドメイン% ... |}{Refused|{Access d|D}enied|{User|Domain|Address} {unknown|blacklisted}}|554 <%受信者のドメイン%>... {Mail quota exceeded|Message is too large}

     554 <%受信者のドメイン%>... Service unavailable|550 5.1.2 <%受信者のドメイン%>... Host unknown (Name server: host not found)|554 {5.0.0 |}Service unavailable; [%ランダムなIP アドレス% ] blocked using {relays.osirusoft.com|bl.spamcop.net}{, reason: Blocked|}

     Session aborted{, reason: lost connection|}|>>> RCPT To:<%受信者のドメイン%>

     <<< 550 {MAILBOX NOT FOUND|5.1.1 <%受信者のドメイン%>... {User unknown|Invalid recipient|Not known here}}|>>> DATA

     {<<< 400-aturner; %MAIL-E-OPENOUT, error opening !AS as output|}{<<< 400-aturner; -RMS-E-CRE, ACP file create failed|}{<<< 400-aturner; -SYSTEM-F-EXDISKQUOTA, disk quota exceeded|}<<< 400}|}

   • The original message was included as attachment


   • {{The|Your} m|M}essage could not be delivered

添付ファイル
添付ファイルの名前は以下のものから構成されています：

– 以下のうちのどれかで始まります：
   • readme
   • instruction
   • transcript
   • mail
   • letter
   • file
   • text
   • attachment
   • document
   • message
   • %ランダムな文字列%

    ファイル拡張子は以下のうちのどれかです：
   • cmd
   • bat
   • com
   • exe
   • pif
   • scr
   • zip

添付ファイルは、マルウェア自身のコピーです。

添付ファイルはそのマルウェアのコピーを含むアーカイブです。

メールは以下のようなものです：

送信 アドレスの検索：
以下のファイルからメールアドレスを検索します：
   • doc
   • txt
   • htm
   • html

FROM欄のためのアドレス作成
アドレスを作成するのに以下の文字列を使用します：
   • Postmaster
   • Mail Administrator
   • Automatic Email Delivery Software
   • Post Office
   • The Post Office
   • Bounced mail
   • Returned mail
   • MAILER-DAEMON
   • Mail Delivery Subsystem

検索エンジン：
メールアドレスを収集するため、以下の検索エンジンに接続します：
   • http://search.lycos.com/
   • http://www.altavista.com/
   • http://search.yahoo.com/
   • http://www.google.com/

アドレスは無視します：
以下の文字列を含むアドレスにはメールは送られません：
   • mailer-d; spam; abuse; master; sample; accoun; privacycertific; bugs;
      listserv; submit; ntivi; support; admin; page; the.bat; gold-certs;
      feste; not; help; foo; soft; site; rating; you; your; someone; anyone;
      nothing; nobody; noone; info; winrar; winzip; rarsoft; sf.net;
      sourceforge; ripe.; arin.; google; gnu.; gmail; seclist; secur; bar.;
      foo.com; trend; update; uslis; domain; example; sophos; yahoo; spersk;
      panda; hotmail; msn.; msdn.; microsoft; sarc.; syma; avp

MX文字列を前に入れます：
メールサーバのIPアドレスを取るために、以下の文字列をドメイン名の前に入れます：
   • mx.
   • mail.
   • smtp.

その他 Mutex(ミューテック)
以下のMutex(ミューテック）を作成します：
• %computername%root%computername%rootx%computername%root%computername%rootxx

ファイルの詳細 プログラム言語:
このマルウェアプログラムはMS Visual C++で書かれています。

簡単な説明はココにあります。.

この説明は Irina Boldea によって Thu, 18 May 2006 11:07 (GMT+1) 書き込まれました。
この説明は Irina Boldea によって Mon, 22 May 2006 14:29 (GMT+1) 更新されました。

» About Malware
» About Phishing
» Viruses In the Wild

« back