Worm/Womble.A - Worm

参照

概要

詳しい説明

統計

ウイルス	Worm/Womble.A
発見日：	29/08/2006
タイプ	ワーム
感染報告有り	はい
感染報告	中
感染の可能性	中～高
ダメージ・ポテンシャル	中
スタティック・ファイル	いいえ
ファイル・サイズ	79.360 バイト
VDFファージョン：	6.35.01.156
IVDFファージョン：	6.35.01.159 - Wed, 30 Aug 2006 09:24 (GMT+1)
ヒューリスティック：	HEUR/Crypted.Patched

一般情報 感染方法
   • Eメール
   • ローカル・ネットワーク

別名
   • Symantec(シマンテック) W32.Womble.A@mm
   • Kaspersky(カスペルスキー) Email-Worm.Win32.Womble.a
   • TrendMicro(トレンドマイクロ） WORM_WOMBLE.A
   • Sophos(ソフォス) W32/Womble-B
   • ウイルスバスター iworm I-Worm.Womble.A
   • ビットディフェンダー(Bitdefender)： Win32.Womble.A@mm

プラットフォーム/OS：
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • 悪意ファイルを作成します。
   • それ自身のメール・エンジンを利用します。
   • レジストリの改変。
   • ソフトの脆弱性を利用します。
   • サード・パーティ・コントロール

   %text1%:
   -about_windows
   -antispam
   -congratulations
   -firefox_update
   -free_anti_spyware
   -free_antivirus
   -google_info
   -google_tool
   -google_update
   -ie_update
   -java_update
   -inet
   -mail_control
   -mails_list
   -ms_office_update
   -net_update
   -new_picture
   -new_win_patch
   -picture
   -remove_spyware
   -some_info
   -www
   -yahoo_info
   -yahoo_tool
   -your_friends

   %text2%:
   -dvd
   -dvd_info
   -free
   -h_core
   -l_this
   -lunch
   -mp3
   -new_mp3
   -new_video
   -photo
   -sh_docs
   -take_it
   -video
   -xxx

ファイルそれ自体を以下の場所にコピーします。
   • %SYSDIR%\%実行ファイル%
   • %home%\Local Settings\Application Data\Microsoft\WinTools\%text2%\%text1%.exe
   • %home%\Local Settings\Application Data\Microsoft\WinTools\%text2%\%text1%.pif
   • \\現在のドメインのコンピュータ\%ネットワークシェア%\%text1%.exe
   • \\現在のドメインのコンピュータ\%ネットワークシェア%\%text1%.pif

以下のファイルが作成されます：

– %home%\Local Settings\Application Data\Microsoft\WinTools\%text2%\%text1%.wmf 詳しい調査の結果、このファイルもマルウェアであることが判明しました。以下のように検出されました： EXP/MS06-001.WMF

– %home%\Local Settings\Application Data\Microsoft\WinTools\%text2%\%text1%.jpg 詳しい調査の結果、このファイルもマルウェアであることが判明しました。以下のように検出されました： EXP/MS06-001.WMF

– \\現在のドメインのコンピュータ\%ネットワークシェア%\%text1%.wmf 詳しい調査の結果、このファイルもマルウェアであることが判明しました。以下のように検出されました： EXP/MS06-001.WMF

– \\現在のドメインのコンピュータ\%ネットワークシェア%\%text1%.jpg 詳しい調査の結果、このファイルもマルウェアであることが判明しました。以下のように検出されました： EXP/MS06-001.WMF

レジストリ以下のレジストリ・キーは、再起動後にそのプロセスを実行するために追加されたものです：

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
   • "Shell"="Explorer.exe %スペース% %SYSDIR%\%実行ファイル%"
   • "Userinit"="%SYSDIR%\userinit.exe %スペース% ,%SYSDIR%\%実行ファイル%"

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "ms_net_update"="%SYSDIR%\%実行ファイル%"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "ms_net_update"="%SYSDIR%\%実行ファイル%"

以下のレジストリ・キーが追加されます：

– [HKLM\SYSTEM\CurrentControlSet\Services\lanmanserver\Shares]
   • "%text2%"=
"CSCFlags=0
MaxUses=1000
Path=%home%\Local Settings\Application Data\Microsoft\WinTools\%text2%
Permissions=127
Type=0"

– [HKLM\SOFTWARE\WinUpdate]
   • "Version"=dword:00000003

Eメールそれはメールを送るためSMTPエンジンが搭載されています。送り先のサーバとの直接接続が構築されます。特徴は以下の通りです：

送信者
送信者のアドレスはユーザーのアウトルックのアカウントです。

宛先:
– システム内のあるファイルにあるメールアドレス
– ウインドウズ・アドレス帳(WAB)を使って集められたメールアドレス

件名
以下のもの：
   • !!; Action; Bush; FIFA; Helo; Hi; important; Incredible!!; info; Kiss;
      Laura; Laura and John; Lola; Look at this!!!; Miss Khan; Nataly; Ola;
      Olympus; Paula; pic; pics; private; private pics; Re:; Re: hi; Re:
      info; RE: pic; read this; Robert; Sex

本文
メールの本文は以下のうちのどれかです：

   • ---------------------------------------------------

     There is some info in the attached file !!!

     ---------------------------------------------------


   • -----------------------------

     Zip P A S S : %9桁のランダムな文字列%

     -----------------------------


添付ファイル
添付ファイルの名前は以下のものから構成されています：

– 以下のうちのどれかで始まります：
   • %text%

以下のうちのどれかが続きます：
   • exe
   • pif

    以下のうちのどれかが続きます：
   • zip

– 以下のうちのどれかで始まります：
   • %text1%

以下のうちのどれかが続きます：
   • exe
   • jpg
   • pif
   • wmf

    以下のうちのどれかが続きます：
   • passw
   • psw

    その後に以下の偽の拡張子のうちのどれかが続きます：
   • zip

添付ファイルはそのマルウェアのコピーを含むアーカイブです。

添付ファイルは、作成されたファイルのコピーです。 %text1%.jpg; %text1%.wmf

メールは以下のうちのどれかであることもあります：

バックドア サーバに接続します。
以下のもの：
   • http://support.365soft.info/**********
   • http://support.365soft.info/**********
   • http://support.software602.com/**********
   • http://support.software602.com/**********
   • http://anyproxy.net/**********
   • http://anyproxy.net/**********
   • http://support.enviroweb.org/**********
   • http://support.enviroweb.org/**********
   • http://support.nikontech.com/**********
   • http://support.nikontech.com/**********
   • http://email-support.seekful.com/**********
   • http://email-support.seekful.com/**********
   • http://mymail.100hotmail.com/**********
   • http://mymail.100hotmail.com/**********

結果、いくつかの情報を送る可能性があり、リモート・コントロール機能が生まれるかもしれません。これはPHPスクリプトを使ったHTTP GETのリクエストを通して行われます。

以下についての情報を送ります：
    • 現在のマルウェアのステータス

リモート・コントロール機能
    • ダウンロード・ファイル

その他 インターネット接続
インターネット接続をチェックするため、以下のDNSサーバにつなぎます：
   • *.GTLD-SERVERS.net
   • *.root-servers.net
   • *.DE.NET
   • *.NIC.DE

インターネット接続環境を調べるため、以下のウェブサイトに接続しようとします：
   • http://www.sun.com/index.html

Mutex(ミューテック)
以下のMutex(ミューテック）を作成します：
   • wmf.mtx.3

ファイルの詳細 プログラム言語:
このマルウェアプログラムはMS Visual C++で書かれています。

ランタイム・パッカー
検出されにくくするため、またファイルのサイズを縮小するため、以下のランタイム・パッカーで圧縮してあります。
• UPX

簡単な説明はココにあります。.

この説明は Andrei Ivanes によって Tue, 29 Aug 2006 16:10 (GMT+1) 書き込まれました。
この説明は Andrei Ivanes によって Thu, 31 Aug 2006 09:42 (GMT+1) 更新されました。

» About Malware
» About Phishing
» Viruses In the Wild

« back