Worm/Kipis.g - Worm

参照

概要

詳しい説明

統計

ウイルス	Worm/Kipis.g
発見日：	24/01/2005
タイプ	ワーム
感染報告有り	はい
感染報告	低
感染の可能性	中～高
ダメージ・ポテンシャル	中
スタティック・ファイル	はい
ファイル・サイズ	16.000 バイト
MD5　チェックサム	095aac37b121cd3e36a2bba0ea8a26a7
VDFファージョン：	6.29.00.77

一般情報 感染方法
   • Eメール
   • P2P(ピアツーピア)

別名
   • Symantec(シマンテック) W32.Kipis.A@mm
   • McAfee(マカフィー) W32/Kipis.d@MM
   • Kaspersky(カスペルスキー) Email-Worm.Win32.Kipis.g
   • TrendMicro(トレンドマイクロ） WORM_KIPIS.C
   • Sophos(ソフォス) W32/Kipis-G
   • Grisoft I-Worm/Kipis.F
   • ウイルスバスター I-Worm.Kipis.C
   • Eset Win32/Kipis.G
   • ビットディフェンダー(Bitdefender)： Win32.Kipis.G@mm

プラットフォーム/OS：
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • セキュリティ・アプリケーションを無効にします。
   • それ自身のメール・エンジンを利用します。
   • レジストリの改変。
   • サード・パーティ・コントロール

ファイルそれ自体を以下の場所にコピーします。
   • %WINDIR%\regedit.com
   • %SYSDIR%\netstat.com
   • %SYSDIR%\Microsoft\svchost.exe

レジストリ以下のレジストリ・キーは変更されます：

– HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
   前の値
   • "Shell"="Explorer.exe"
   新しい値
   • "Shell"="Explorer.exe %SYSDIR%\Microsoft\svchost.exe"

Eメールそれはメールを送るためSMTPエンジンが搭載されています。送り先のサーバとの直接接続が構築されます。特徴は以下の通りです：

送信者
送信者のアドレスは改変されています(spoof)。
作成されたアドレスです。送信者は送る意図があって送ったわけではありません。送信者は、感染されたことに気づいていないかもしれませんし、まったく感染していないかもしれません。さらに、あなたが感染されたと告げる多数のメールを受け取る可能性があります。これも真実ではないことがあります。

宛先:
– システム内のあるファイルにあるメールアドレス
– ウインドウズ・アドレス帳(WAB)を使って集められたメールアドレス

件名
以下のもの：
   • Hello
   • Hi
   • Letter
   • Love
   • message
   • Re: Hello
   • Re: Hi
   • Re: Letter
   • Re: Love
   • Re: message

本文
メールの本文は以下のうちのどれかです：

   • With the coming Valentine's day. :)

   • What for you have send me this letter?
     I have read, i precisely do not know you.

   • What for you have send me this letter?

   • Greetings, you do not know me,
     me asked to send you this love letter.

   • Please look my Love letter..
     Bye.

添付ファイル
添付ファイルの名前は：
   • letter.pif
   • message.pif
   • Love.pif
   • link.love you.php679807.pif
   • I-LOVE-YOU.pif

添付ファイルは、マルウェア自身のコピーです。

メールは以下のようなものです：

送信 アドレスの検索：
以下のファイルからメールアドレスを検索します：
   • html; eml; xls; xml; uin; tbb; dbx; doc; htm; adb; txt

FROM欄のためのアドレス作成
アドレスを作成するのに以下の文字列を使用します：
   • sandra; mary; bill; toma; linda; stan; mike; anna; adam; maria; rosa;
      stiv; liza; dana; alex

この結果に、先ほどアドレスを検索されたファイルの中に見つかったドメインをつなげます。

アドレスは無視します：
以下の文字列を含むアドレスにはメールは送られません：
   • bitdefend; mailer; podpiska; accoun; listserv; newvir; antivir;
      support; admin; sales; news; info; site; webmaney; drweb; where;
      abuse; rating; the.bat; page; soft; register; notice; help; bugs;
      contact; service; kaspersky; nod32; privacy; webmaster; postmaster;
      rfc-; ripe.; sybari; anyone; mozilla; sendmail; pgp; secur; fido;
      google; .edu; mydomai; gov.; foo.; iruslis; norman; e-trust-; .hlp;
      .gov; nodomai; borlan; hotmail; f-prot; klamav; bitdefen; sopho;
      syman; software.; .mil; panda; msn.; icrosoft; avp

MX文字列を前に入れます：
メールサーバのIPアドレスを取るために、以下の文字列をドメイン名の前に入れます：
   • gate.
   • ns.
   • relay.
   • mail1.
   • mxs.
   • mail.
   • mx1.
   • mx.
   • smtp.

P2P P2P(ピアツーピア)ネットワーク内の他のシステムに感染するため、以下のアクションを実行します：

–   以下のサブストリング(substring)を含むディレクトリを検索します：
   • upload
   • incomin
   • downloa
   • grokste
   • shar

   成功すると、以下のファイルが作成されます：
   • Porno arhive(sex,oral,anal,bdsm).scr
   • Winamp 6 full.exe
   • MS Office XP Crack.exe
   • Crack collection(6 892).exe
   • KAV 5.0x Keygen.exe
   • WinXP SP3 crack.exe
   • MyProxy 7.0x crack.exe

プロセス中断以下の文字列を含むプロセスは終了されます：
   • filemon.; regmon.; nopdb.; escanhnt.; frw.; upw; rewall; guard.;
      ccapp.; blackd.; sphinx.; maniac.; bscan; protect; suchost.; safe;
      taumon; kerio; blackice; fiaudit.; upgrade; update; alarm; post;
      rising; winit.; symantec; gate; kav; mcafee; nav; luall.; rweb; duba;
      svchosl.; avmon

バックドア以下のポートが開かれます：

– %実行されたマルウェアのディレクトリ%\%実行ファイル% TCPポートに 7312 バックドアを開くため

その他以下のMutex(ミューテック）を作成します：
• -= KiPiSh - GFxPRO - 0x1.0 =-

ファイルの詳細 プログラム言語:
このマルウェアプログラムはMS Visual C++で書かれています。

ランタイム・パッカー
検出されにくくするため、またファイルのサイズを縮小するため、以下のランタイム・パッカーで圧縮してあります。
• FSG

簡単な説明はココにあります。.

この説明は Irina Boldea によって Mon, 14 Aug 2006 16:17 (GMT+1) 書き込まれました。
この説明は Irina Boldea によって Tue, 15 Aug 2006 09:15 (GMT+1) 更新されました。

» About Malware
» About Phishing
» Viruses In the Wild

« back