TR/Click.Sma.LF.2.A - Trojan

参照

概要

詳しい説明

統計

ウイルス	TR/Click.Sma.LF.2.A
発見日：	03/07/2006
タイプ	トロイの木馬
感染報告有り	いいえ
感染報告	低
感染の可能性	低
ダメージ・ポテンシャル	低～中
スタティック・ファイル	はい
ファイル・サイズ	69.632 バイト
MD5　チェックサム	269e140122effec8dcf319fedb13ccbc
VDFファージョン：	6.35.00.110 - Mon, 03 Jul 2006 14:54 (GMT+1)
IVDFファージョン：	6.35.00.136 - Fri, 07 Jul 2006 14:39 (GMT+1)

一般情報 感染方法
   • それ自体に伝染能力はない

別名
   • Symantec(シマンテック) Backdoor.Rustock.B
   • TrendMicro(トレンドマイクロ） TROJ_COSTRAT.A
   • ウイルスバスター Trojan.CL.Costrat.C

プラットフォーム/OS：
   • ウインドウズ 95
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • ファイルをダウンロードします。
   • 悪意ファイルを作成します。

ファイル最初に実行したコピーの方を削除します。

– %SYSDIR%\lzx32.sys 詳しい調査の結果、このファイルもマルウェアであることが判明しました。以下のように検出されました： TR/Pakes.A.627

ファイルをダウンロードしようとします：

– 場所は以下の通りです：
• http://ftp.icq.com/pub/ICQ_Win95_98_NT4/ICQ_5/**********

レジストリ以下のレジストリ・キーは、再起動後にそのサービスを読み込むために追加されたものです：

– HKLM\System\CurrentControlSet\Services\pe386
   • DisplayName = "Win23 PE files loader"
   • ErrorControl = 0x0
   • Group = "Base"
   • ImagePath = "\??\%SYSDIR%\lzx32.sys"
   • Start = 0x1
   • Type = 0x1

– HKLM\System\CURRENTCONTROLSET\SERVICES\pe386\Enum
   • 0 = "Root\LEGACY_PE386\0000"
   • Count = 0x1
   • NextInstance = 0x1

– HKLM\System\CurrentControlSet\Services\pe386\Security
   • Security = %hex値%

バックドア サーバに接続します。
以下のうちのどれか１つ：
• http://208.66.194.14/**********?page=main
• http://208.66.195.234/banner/**********

結果、いくつかの情報を送る可能性があります。その他、定期的に接続を繰り返します。これはPHPスクリプトを使ったHTTP GETとPOSTメソッドを通して行われました。

その他 インターネット接続

以下の名前を試します：
   • www.google.com
   • www.miniclip.com
   • maila.microsoft.com
   • sportsvl.com
   • www.tripadvisor.com
   • www.artima.com
   • www.eduplace.com
   • kansas.lib.overdrive.com
   • www.stuff.com.au

インターネット接続環境を調べるため、以下のウェブサイトに接続しようとします：
   • http://www.google.com/search?hl=en&q=%rランダムな言葉%

ルートキット・テクノロジー(Rootkit Technology) それはマルウェア特有のテクノロジーです。マルウェアはその存在を、システム・ユーティリティー、セキュリティー・アプリケーション、そしてユーザ自身からも隠します。

以下のものを隠します：
– それ自身のファイル
– それ自身のプロセス
– それ自身のレジストリ・キー

以下のAPI機能にホック（ＨＯＯＫ）します:
   • ZwOpenKey
   • ZwEnumerateKey
   • ZwQueryKey
   • ZwCreateKey
   • ZwSaveKey
   • ZwDeviceIoControlFile
   • ZwQuerySystemInformation
   • ZwInitializeRegistry

ファイルの詳細 ランタイム・パッカー
検出されにくくするため、またファイルのサイズを縮小するため、ランタイム・パッカーで圧縮してあります。

簡単な説明はココにあります。.

この説明は Marius T. Nicolae によって Tue, 22 Aug 2006 14:35 (GMT+1) 書き込まれました。
この説明は Marius T. Nicolae によって Thu, 07 Sep 2006 09:15 (GMT+1) 更新されました。

» About Malware
» About Phishing
» Viruses In the Wild

« back