Worm/Banwarum.E - Worm

参照

概要

詳しい説明

統計

ウイルス	Worm/Banwarum.E
発見日：	28/05/2006
タイプ	ワーム
感染報告有り	はい
感染報告	低
感染の可能性	中～高
ダメージ・ポテンシャル	中
スタティック・ファイル	はい
ファイル・サイズ	50.176 バイト
MD5　チェックサム	de42073eff6b9b12313915ad12c13bdb
VDFファージョン：	6.34.01.149 - Sun, 28 May 2006 14:38 (GMT+1)
IVDFファージョン：	6.34.01.154 - Mon, 29 May 2006 14:23 (GMT+1)

一般情報 感染方法
   • Eメール
   • ローカル・ネットワーク

別名
   • Symantec(シマンテック) W32.Banwarum@mm
   • McAfee(マカフィー) W32/Banwarum@MM
   • Kaspersky(カスペルスキー) Email-Worm.Win32.Banwarum.e
   • TrendMicro(トレンドマイクロ） WORM_RANCHNEG.A
   • ウイルスバスター I-Worm.Banwarum.D
   • Eset Win32/Banwarum.E
   • ビットディフェンダー(Bitdefender)： Win32.Worm.Banwarum.A

プラットフォーム/OS：
   • ウインドウズ 95
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • 悪意ファイルを作成します。
   • それ自身のメール・エンジンを利用します。
   • レジストリの改変。
   • ソフトの脆弱性を利用します。
   • 情報を盗みます。
   • サード・パーティ・コントロール

ファイル以下のファイルが作成されます：

– %SYSDIR%\mszsrn32.dll 詳しい調査の結果、このファイルもマルウェアであることが判明しました。以下のように検出されました： Worm/Banwarum.E.1

レジストリ以下のレジストリ・キーは、再起動後にそのプロセスを実行するために追加されたものです：

– HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\
   mszsrn32
   • "DllName"="%SYSDIR%\mszsrn32.dll"
   • "Startup"="Startup"
   • "Asynchronous"=dword:00000001
   • "Impersonate"=dword:00000000
   • "Type"=dword:00000002
   • "SystemId"=dword:121d41eb

Eメールそれはメールを送るためSMTPエンジンが搭載されています。送り先のサーバとの直接接続が構築されます。特徴は以下の通りです：

送信者
送信者のアドレスは改変されています(spoof)。

宛先:
– システム内のあるファイルにあるメールアドレス
– ウインドウズ・アドレス帳(WAB)を使って集められたメールアドレス

件名
以下のもの：
   • Anzeige ist erstatet; BundesKriminalAmt; Ermittlungsverfahren wurde
      eingeleitet; Es ist AUS!; Gewonnen? GeWONNEN!; Guten Tag! Hier sind
      ihre WM Tickets!; Hallo!; Hoer auf damit!; Holen sie jetzt ihre WM
      Tickets ab!; Holen sie sich WM Tickets fuer das Finalle JETZT!; Ich
      zeige dich an!; Ich Zeige sie an!; Ihre Akte!; Ihre IP wurde geloggt!;
      JehhuuuU! WWWMMMM!!; Komme mit!; Sie besitzen Raubkopien; Sie
      betrueger!; Sie haben WM Tickets gewonnen!; Sie kommen ins Knast!;
      Warum machst du das?; Weltmeisterschaft!; WM Tickets!

本文
メールの本文は以下のうちのどれかです：

   • Sehr geehrte Damen und Herren,

     vor kurzem habe ich eine Ueberweisung von ihrem Bank Konto bekommen und ich wuerde sie gern Fragen wie es dazu kam. Iich danke Ihnen, aber es musste warscheinlich ein Fehler unterlaufen denn ich kenne Sie nicht und Sie kennen mich nicht.

     Wie koennen wir diesen Missverstaendnis loesen? Am besten rufen Sie mich bitte an wenn es moeglich ist. Meine Telefonnummer lautet 035/98276590

     Ich habe ein Abbild von dem Ueberweisungslog gemacht, dabei habe ich aus versehentlichen Gruenden ein Password darauf gelegt, er lautet %ランダムな文字列%

     Mit Freundlichen Gruessen
     Manfred Schmidt

   • Sehr geehrte Damen und Herren,

     warum schicken Sie mir ihr Geld? Ich bedanke mich bei ihnen, aber es gehoert nicht mir und ich brauche es auch nicht, also koennen Sie es bitte lassen?
     Meine Kontonummer bei der Postbank 83475687345 Bankleitzahl: 4655437

     In dem Attach haben sie ein Log von den Ueberweisungen die sie gemacht haben.
     Password dafuer lautet %ランダムな文字列%

     Mit freundlichen Gruessen
     Gerhard Meyer

   • Sehr geehrte Damen und Herren,

     ich bevorzuge ihre friedliche Ansichten, aber wir sind keine Wohltaetigkeitsorganisation, deswegen bitte wir Sie die Geldueberweisungen zu beenden. Wir wuerden gerne alles zurueck zahlen was sie an uns bereits abschickten.

     In dem Dateianhang lieg der Log von der Postbank, das Kennwort fur den Archiv lautet %ランダムな文字列%

     Mit freundlichen Gruessen
     Ingrid Behnke

   • Sehr geehrte Damen und Herren,

     ich will Sie darauf aufmerksam machen, das Sie ununterbrochen Geld an uns abschicken. Es ist wirklich erfreulich, aber das Geld gehoert uns nicht und wir wuerden gerne alles zurueck zahlen.

     Ein Kopie von der Ueberweisung liegt in dem Anhang, das Kennwort dafuer lautet %ランダムな文字列%

     Mit freundlichen Gruessen

     Anne Flachman

   • Hi,

     thx das du Geld an mich schicks, aber kannste damit auf hoeren?

     Hier eine Kopie des Kontoauszugs von der Postbank in dem Anhang. Password: %ランダムな文字列%

     mfg Henry

   • Hallo,

     sie schicken viel Geld an mir, das mir, nicht mein ist. Ich haben eine Posdbank Account. Ich schicken alles an du zurueck, wenn du damit aufhoeren Geld zu schicken. Danke.

     Hier eine Anhang mit der Ueberweisung. Password dafuer lautete %ランダムな文字列%

     Have a nice day
     John Walthers

   • Sehr geehrte Damen und Herren,

     wir laden Sie rechtherzlich zu unseren Â«Gewinne WM TicketsÂ» Aktion. Alles was dafuer zu machen brauchen ist dieses Formular auszufuellen. Das eine Euro das Sie uns schicken wird viele Kinder der dritten Welt erfreuen.

     Das Kennwort fuer den Formular lautet %ランダムな文字列%

     Herzlichen Dank
     Bathe Maune

   • Sehr geehrte Damen und Herren,

     Sie haben so eben Weltmeisterschaft Tickes gewonnen! Alles was jetzt noch zu machen ist, das Formular in dem Anhang auszufuellen und Sie sind dabei! Verpassen Sie ihre einmalige Chance nicht!

     Anhangspassword: %ランダムな文字列%

     Mit freundlichen Gruessen
     Lotto-GDI GmbH

   • Hi man,

     ich hab gesehen, das du zu WM wolltest, frag nicht wer ich bin und warum ich es mache. Hier hast du 5 Stueck, das ist eine spezielle Online Version, drueck es aus und unterschreib.

     Password zu dem Archiv lautet %ランダムな文字列%

     Mfg Niemand ;)

   • Hi sexgott ich bin so geil das ich nicht mehr kann

     hier ein paar fotos wie ich grade abgehe!

     das password fuer die fotos ist: %ランダムな文字列%

     Gruesse Monica

   • Oh BABY!!!

     Ich bin so geil bitte fick mich

     meine muschi leuft aus ich will dich o bitte bitttte.........

     hofffendlich bist du auch Geil wenn du meine Pics siehst :P

     habe dir paar neue mitgeschickt

     das password ist: %ランダムな文字列%

     bye bye

   • Sehr geehrte Damen und Herren,

     warum schicken Sie mir ihr Geld? Ich bedanke mich bei ihnen, aber es gehoert nicht mir und ich brauche es auch nicht, also koennen Sie es bitte lassen?
     Meine Kontonummer bei der Postbank 83475687345 Bankleitzahl: 4655437

     In dem Attach haben sie ein Log von den Ueberweisungen die sie gemacht haben.
     Password dafuer lautet %ランダムな文字列%

     Mit freundlichen Gruessen
     Gerhard Meye

   • Hi,

     thx das du Geld an mich schicks, aber kannste damit auf hoeren?

     Hier eine Kopie des Kontoauszugs von der Postbank in dem Anhang. Password: %ランダムな文字列%

     mfg Henry

   • Sehr geehrte Damen und Herren,

     Sie haben so eben Weltmeisterschaft Tickes gewonnen! Alles was jetzt noch zu machen ist, das Formular in dem Anhang auszufuellen und Sie sind dabei! Verpassen Sie ihre einmalige Chance nicht!

     Anhangspassword: %ランダムな文字列%

     Mit freundlichen Gruessen
     Lotto-GDI GmbH

   • Hi man,

     ich hab gesehen, das du zu WM wolltest, frag nicht wer ich bin und warum ich es mache. Hier hast du 5 Stueck, das ist eine spezielle Online Version, drueck es aus und unterschreib.

     Password zu dem Archiv lautet %ランダムな文字列%

     Mfg Niemand ;)

   • Hallo Albert

     Ich habe ein paar fotos fuer dich gemacht und wollte sie dir schicken damit du mich nicht so vermisst ich bin in 2 wochen wieder da dann werde ich alle deine wuensche erfuellen versprochen! Die fotos sind mit der emial

     das password hab ich raufgemacht es lautet: %ランダムな文字列%

   • Sehr geehrte Dame, sehr geehrter Herr,

     das Herunterladen von Filmen, Software und MP3s ist illegal und somit strafbar. Wir moechten Ihnen hiermit vorab mitteilen, dass Ihr Rechner unter der IP erfasst wurde. Der Inhalt Ihres Rechner wurde als Beweismittel sichergestellt und es wird ein Ermittlungsverfahren gegen Sie eingleitet.

     Die Strafanzeige und die Moeglichkeit zur Stellungnahme wird Ihnen in den naechsten Tagen schriftlich zugestellt.

     Aktenzeichen NR.:
      (siehe Anhang)

     ACHTUNG: der Anhang ist Password geschuetzt

     der Password fuer den Anhang (ihre Akte)

     lautet: %ランダムな文字列%

     bitte vergessen sie ihn nicht

     Hochachtungsvoll

     i.A. Juergen Stock

     --- Bundeskriminalamt BKA
     --- Referat LS 2
     --- 65173 Wiesbaden
     --- Tel.: +49 (0)611 - 55 - 12331 oder
     --- Tel.: +49 (0)611 - 55 - 0

添付ファイル
添付ファイルの名前は：
   • Abbild-Der-Rechnung.zip; akte.zip; Anhang.zip; Anhang-Tickets.zip;
      anklage.zip; Anklage-Material.zip; anklageschrift.zip; Anzeige.zip;
      archiv.zip; bescheinigung.zip; beweise.zip; bild01.zip; Desktop.zip;
      fick_mich.zip; fickmich.zip; fotze.zip; free_pics.zip;
      free_videos.zip; geil.zip; ich_lauf_aus.zip; ichbingeil.zip;
      ihre_akte.zip; IhrEnde.zip; Kontoauszug.zip; Kopien.zip; meinbild.zip;
      meine_moese.zip; mypics.zip; New Folder.zip; Rechnung.zip;
      Rechnung-Anhang.zip; reklament.zip; sexy.zip; Tickets.zip;
      Ueberweisung.zip; Weltmeisterschaft.zip; WM.zip; WM-Anhang.zip;
      WM-Tickets.zip; vorladung.zip

添付ファイルはそのマルウェアのコピーを含むアーカイブです。

メールは以下のようなものです：

送信 アドレスの検索：
以下のファイルからメールアドレスを検索します：
   • .wab; .tbb; .tbi; .doc; .xls; .txt; .csv; .htm; .html; .xml; .adb;
      .asa; .asc; .asm; .asp; .cgi; .con; .csp; .dbx; .dlt; .dwt; .edm;
      .hta; .htc; .inc; .jsp; .jst; .lbi; .php; .rdf; .rss; .sht; .ssi;
      .stm; .vbp; .vbs; .wml; .xht; .xsd; .xst

アドレスは無視します：
以下の文字列を含むアドレスにはメールは送られません：
   • admin; info; support; soft; webmaster; help; web; postmaster; root;
      bugs; rating; site; contact; privacy; serviceabuse; register; sales;
      cisco; gnu.org; bsd.it; debian; linux; berkeley; google; fido;
      ibm.com; microsoft.com; php.net; .mil; .gov; borland.com; sun.com;
      xinul.com; virus; kaspersky; sophos; ripe.; iana.; drweb.; secure;
      avp.; .arpa

ネットワーク感染感染を確かなものにするために、マルウェアは以下のように他のマシンに接続しようとします。

エクスプロイト(Exploit)
以下のエクスプロイト(Exploit)を利用します：
– MS04-007 (ASN .1 の脆弱性により、コードが実行される)

IPアドレス作成
ランダムなIPアドレスを作りますが、その最初の2つの8ビットは同じままです。その後それらと接続しようとします。

バックドア以下のポートが開かれます：

– %SYSDIR%\winlogon.exe TCPポートに 1507 HTTPサーバを供給するため

サーバに接続します。
以下のもの：
   • 5d**********.net/mmm/register.php?
   • 7st**********.biz/mmm/register.php?
   • 7stick.info/mmm/register.php?
   • branch**********.biz/mmm/register.php?
   • branch**********.net/mmm/register.php?
   • frach**********.com/mmm/register.php?
   • frach**********.info/mmm/register.php?
   • mon**********.com/mmm/register.php?
   • ola**********.com/mmm/register.php?
   • ola**********.net/mmm/register.php?

結果、いくつかの情報を送る可能性があります。これはPHPスクリプトを使ったHTTP GETのリクエストを通して行われます。

以下についての情報を送ります：
    • マルウェアの起動時間
    • ウインドウズOSについての情報

挿入(Injection) – 以下のファイルをプロセスに挿入させます： %SYSDIR%\mszsrn32.dll

プロセス名：｜以下のすべて：
• winlogon.exe

簡単な説明はココにあります。.

この説明は Irina Boldea によって Mon, 17 Jul 2006 09:38 (GMT+1) 書き込まれました。
この説明は Irina Boldea によって Mon, 31 Jul 2006 15:40 (GMT+1) 更新されました。

» About Malware
» About Phishing
» Viruses In the Wild

« back