Worm/Brontok.W.A - Worm

参照

概要

詳しい説明

統計

ウイルス	Worm/Brontok.W.A
発見日：	21/08/2006
タイプ	ワーム
感染報告有り	いいえ
感染報告	低
感染の可能性	中
ダメージ・ポテンシャル	低～中
スタティック・ファイル	はい
ファイル・サイズ	98.304 バイト
MD5　チェックサム	892f49387317b9cf8a70dad3595db4e3
VDFファージョン：	6.36.00.51 - Fri, 22 Sep 2006 12:03 (GMT+1)
IVDFファージョン：	6.36.00.62 - Tue, 26 Sep 2006 19:32 (GMT+1)

一般情報 感染方法
   • ローカル・ネットワーク

別名
   • Symantec(シマンテック) Hacktool.Spammer
   • Kaspersky(カスペルスキー) Email-Worm.Win32.Brontok.w
   • F-Secure(エフ・セキュア) Email-Worm.Win32.Brontok.w
   • Sophos(ソフォス) W32/Brontok-BO
   • Grisoft SpamTool.GW
   • ビットディフェンダー(Bitdefender)： Win32.Brontok.AM@mm

以前に以下のように検知されました:
   • SPR/Spam.VB.aqn

プラットフォーム/OS：
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • ファイルを作成します。
   • セキュリティの設定を低くします。
   • レジストリの改変。

ファイルそれ自体を以下の場所にコピーします。
   • %WINDIR%\Kr0n1C.exe
   • C:\Kr0n1C.exe
   • %SYSDIR%\shell.exe
   • %SYSDIR%\MrHelloween.scr
   • %SYSDIR%\IExplorer.exe
   • %ALLUSERSPROFILE%\Start Menu\Programs\Startup\Empty.pif
   • %home%\Local Settings\Application Data\WINDOWS\WINLOGON.EXE
   • %home%\Local Settings\Application Data\WINDOWS\CSRSS.EXE
   • %home%\Local Settings\Application Data\WINDOWS\SERVICES.EXE
   • %home%\Local Settings\Application Data\WINDOWS\LSASS.EXE
   • %home%\Local Settings\Application Data\WINDOWS\SMSS.EXE
   • C:\Kr0n1C\New Folder.exe
   • C:\Data %現在のユーザ名%.exe
   • C:\Data LocalService.exe
   • %現在のディレクトリ%\%現在のディレクトリ名%.exe

以下のディレクトリを作成します：
   • C:\Kr0n1C

以下のファイルが作成されます：

– C:\Puisi.txt これは以下の内容を含む、悪意のないテキスト・ファイルです：
   • Kr0n1C

     Tertatihku Meratap Perih
     Insan Hidup Terasa Mati
     Dan Bahagiapun Sirna Seiring Waktu
     Hanya Sepi Yang Mengisi Sendi - Sendi Kehidupanku

     Ini Semua Karena Dirimu
     Yang Selalu Mengiris Hatiku

     Hari Ini Aku Tetap Menanti
     Hadirmu Walau Hanya Mimpi

     Dan Kini Telah Kusadari
     Dirimu Hanya Ingin Menyakitiku
     Hadirmu Hanya Akan Binasakanku
     Saat Ini Dan Sampai Alam Yang Abadi


      Cyber.nu

– %WINDIR%\msvbvm60.dll
– %SYSDIR%\msvbvm60.dll
– C:\Kr0n1C\Folder.htt
– C:\desktop.ini

レジストリ以下のレジストリ・キーは、再起動後にそのプロセスを実行するために追加されたものです：

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "Kr0n1C"="%WINDIR%\Kr0n1C.exe"
   • "Service%現在のユーザ名%"="%home%\Local Settings\Application Data\WINDOWS\SERVICES.EXE"
   • "MSMSGS"="%home%\Local Settings\Application Data\WINDOWS\WINLOGON.EXE"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "Logon%現在のユーザ名%"="%home%\Local Settings\Application Data\WINDOWS\CSRSS.EXE"
   • "System Monitoring"="%home%\Local Settings\Application Data\WINDOWS\LSASS.EXE"
   • "LogonLocalService"="%home%\Local Settings\Application Data\WINDOWS\CSRSS.EXE"

以下のレジストリ・キーは変更されます：

– [HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot]
   前の値
   • "AlternateShell"="cmd.exe"
   新しい値
   • "AlternateShell"="%WINDIR%\Kr0n1C.exe"

– [HKCR\comfile\shell\open\command]
   前の値
   • @="%1" %*
   新しい値
   • @="%SYSDIR%\shell.exe" "%1" %*"

– [HKCR\batfile\shell\open\command]
   前の値
   • @="%1" %*
   新しい値
   • @="%SYSDIR%\shell.exe" "%1" %*"

– [HKCR\piffile\shell\open\command]
   前の値
   • @="%1" %*
   新しい値
   • @="%SYSDIR%\shell.exe" "%1" %*"

– [HKCR\lnkfile\shell\open\command]
   前の値
   • @="%1" %*
   新しい値
   • @="%SYSDIR%\shell.exe" "%1" %*"

– [HKCR\exefile\shell\open\command]
   前の値
   • @="%1" %*
   新しい値
   • @="%SYSDIR%\shell.exe" "%1" %*"

– [HKCR\exefile]
   前の値
   • @="Application"
   新しい値
   • @="File Folder"

あらゆるExplorerの設定:
– [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
   前の値
   • "Hidden"=%ユーザ設定%
   • "HideFileExt"=%ユーザ設定%
   • "ShowSuperHidden"=%ユーザ設定%
   新しい値
   • "Hidden"=dword:00000000
   • "HideFileExt"=dword:00000001
   • "ShowSuperHidden"=dword:00000000

– [HKCU\Control Panel\Desktop]
   前の値
   • "SCRNSAVE.EXE"=%ユーザ設定%
   • "ScreenSaverIsSecure"=%ユーザ設定%
   新しい値
   • "SCRNSAVE.EXE"="%SYSDIR%\MRHELL~1.SCR"
   • "ScreenSaverIsSecure"="0"

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
   前の値
   • "Shell"="Explorer.exe"
   • "Userinit"="%SYSDIR%\userinit.exe"
   新しい値
   • "Shell"="Explorer.exe "%SYSDIR%\IExplorer.exe""
   • "Userinit"="%SYSDIR%\userinit.exe,%SYSDIR%\IExplorer.exe"

あらゆるExplorerの設定:
– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
   前の値
   • "NoFolderOptions"=%ユーザ設定%
   新しい値
   • "NoFolderOptions"=dword:00000001

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\AeDebug]
   前の値
   • "Auto"="1"
   • "Debugger"="drwtsn32 -p %ld -e %ld -g"
   新しい値
   • "Auto"="1"
   • "Debugger"="%SYSDIR%\Shell.exe"

Regedit（レジストリ編集ツール）及びタスクマネージャを無効化します。
– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System]
   前の値
   • "DisableCMD"=%ユーザ設定%
   • "DisableTaskMgr"=%ユーザ設定%
   • "DisableRegistryTools"=%ユーザ設定%
   新しい値
   • "DisableCMD"=dword:00000001
   • "DisableTaskMgr"=dword:00000001
   • "DisableRegistryTools"=dword:00000001

– [HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore]
   前の値
   • "DisableConfig"=%ユーザ設定%
   • "DisableSR"=%ユーザ設定%
   新しい値
   • "DisableConfig"=dword:00000001
   • "DisableSR"=dword:00000001

– [HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer]
   新しい値
   • "LimitSystemRestoreCheckpointing"=dword:00000001
   • "DisableMSI"=dword:00000001

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\
   CabinetState]
   新しい値
   • "FullPath"=dword:00000001

プロセス中断以下のウインドウのタイトルを含むプロセスが終了されます：
• TASK; REG; ASM; DBG; W32; PROC; WALK; REST; AVS; OPTIONS; ANTI; VIRUS;
RegEdit; Registry Editor; Folder Options; Local Settings

ファイルの詳細 プログラム言語:
このマルウェアプログラムはVisual Basicで書かれています。

簡単な説明はココにあります。.

この説明は Adriana Popa によって Tue, 19 Sep 2006 13:53 (GMT+1) 書き込まれました。
この説明は Adriana Popa によって Fri, 22 Sep 2006 12:52 (GMT+1) 更新されました。

» About Malware
» About Phishing
» Viruses In the Wild

« back