Worm/Wootbot.121772 - Worm

参照

概要

詳しい説明

統計

ウイルス	Worm/Wootbot.121772
発見日：	30/01/2006
タイプ	ワーム
感染報告有り	はい
感染報告	低
感染の可能性	中～高
ダメージ・ポテンシャル	中
スタティック・ファイル	はい
ファイル・サイズ	121.772 バイト
MD5　チェックサム	de2c58cd6f53cf9ae963f9131a6e7202
VDFファージョン：	6.33.00.171 - Mon, 30 Jan 2006 13:32 (GMT+1)

一般情報 感染方法
   • Eメール
   • ローカル・ネットワーク

別名
   • Symantec(シマンテック) W32.Mytob@mm
   • Kaspersky(カスペルスキー) Net-Worm.Win32.Domwoot.a
   • ウイルスバスター I-Worm.Mytob.QB
   • Eset Win32/Mytob.RP

プラットフォーム/OS：
   • ウインドウズ 95
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • それ自身のメール・エンジンを利用します。
   • レジストリの改変。
   • ソフトの脆弱性を利用します。
   • サード・パーティ・コントロール

ファイルそれ自体を以下の場所にコピーします。
• %SYSDIR%\activesx.exe

レジストリ以下のレジストリ・キーが、再起動後そのプロセスを実行するため、無限ループの中に持続的に追加されます：

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • "Win32 Driver"="activesx.exe"

– HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce
   • "Win32 Driver"="activesx.exe"

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
   • "Win32 Driver"="activesx.exe"

– HKCU\Software\Microsoft\Windows\CurrentVersion\Run
   • "Win32 Driver"="activesx.exe"

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
   • "Win32 Driver"="activesx.exe"

以下のレジストリ・キーは、再起動後にそのサービスを読み込むために追加されたものです：

– HKLM\SYSTEM\CurrentControlSet\Services\shit
   • "Type"=dword:00000020
   • "Start"=dword:00000004
   • "ErrorControl"=dword:00000001
   • "ImagePath"="%SYSDIR%\activesx.exe" -netsvcs
   • "DisplayName"="Win32 Driver"
   • "ObjectName"="LocalSystem"
   • "FailureActions"=%hex値%
   • "DeleteFlag"=dword:00000001

Eメールそれはメールを送るためSMTPエンジンが搭載されています。送り先のサーバとの直接接続が構築されます。特徴は以下の通りです：

送信者
送信者のアドレスは改変されています(spoof)。
作成されたアドレスです。送信者は送る意図があって送ったわけではありません。送信者は、感染されたことに気づいていないかもしれませんし、まったく感染していないかもしれません。さらに、あなたが感染されたと告げる多数のメールを受け取る可能性があります。これも真実ではないことがあります。

宛先:
– システム内のあるファイルにあるメールアドレス
– ウインドウズ・アドレス帳(WAB)を使って集められたメールアドレス
– 作成されたアドレス

件名
以下のもの：
   • Notice of account limitation
   • Email Account Suspension
   • Security measures
   • You are banned!!!
   • We have suspended your account
   • Members Support
   • Important Notification
   • Warning Message: Your services near to be closed.
   • Your Account is Suspended For Security Reasons
   • *DETECTED* Online User Violation
   • *WARNING* Your email account is suspended
   • Your Account is Suspended

本文
メールの本文は以下のうちのどれかです：

   • Dear %メールアドレスから取られた受信者のドメイン名% Member,
     We have temporarily suspended your email account %受信者のメールアドレス%
     This might be due to either of the following reasons:
     1. A recent change in your personal information (i.e. change of address).
     2. Submiting invalid information during the initial sign up process.
     3. An innability to accurately verify your selected option of subscription due to an internal error within our processors.
     See the details to reactivate your %メールアドレスから取られた受信者のドメイン名% account.
     Sincerely,The %メールアドレスから取られた送信者のドメイン名% Support Team

   • Dear%メールアドレスから取られた受信者のドメイン名% Member,
     Your e-mail account was used to send a huge amount of unsolicited spam messages during the recent week. If you could please take 5-10 minutes out of your online experience and confirm the attached document so you will not run into any future problems with the online service.

     If you choose to ignore our request, you leave us no choice but to cancel your membership.
     Virtually yours,
     The %メールアドレスから取られた送信者のドメイン名% Support Team

   • Some information about your %メールアドレスから取られた受信者のドメイン名% account is attached.
     The %メールアドレスから取られた送信者のドメイン名% Support Team

添付ファイル
添付ファイルの名前は：
   • readme.zip
   • document.zip
   • account-report.zip
   • account-info.zip
   • email-details.zip
   • account-details.zip
   • important-details.zip
   • information.zip

添付ファイルはそのマルウェアのコピーを含むアーカイブです。

メールは以下のようなものです：

送信 アドレスの検索：
以下のファイルからメールアドレスを検索します：
   • wab; adb; tbb; dbx; php; sht; htm; html; xml; cgi; jsp; txt; tmp

TO欄のためのアドレス作成
アドレスを作成するのに以下の文字列を使用します：
   • adam; alex; andrew; anna; bill; bob; brenda; brent; brian; claudia;
      dan; dave; david; debby; frank; fred; george; helen; jack; james;
      jane; jerry; jim; jimmy; joe; john; jose; josh; julie; kevin; leo;
      linda; maria; mary; matt; michael; mike; paul; peter; ray; robert;
      sales; sam; sandra; serg; smith; stan; steve; ted; tom

FROM欄のためのアドレス作成
アドレスを作成するのに以下の文字列を使用します：
   • register
   • mail
   • administrator
   • service

アドレスは無視します：
以下の文字列を含むアドレスにはメールは送られません：
   • -._!; -._!@; .edu; .gov; .mil; abuse; accoun; acketst; admin; ahn;
      antivi; anyone; arin.; avp; be_loyal:; berkeley; borlan; bsd; bugs;
      certific; contact; duba; example; fbi; fcnz; feste; fido; foo.; f-pro;
      freeav; f-secur; fsf.; gnu; gold-certs; google; gov.; help; hotmail;
      iana; ibm.com; icrosof; icrosoft; ietf; info; inpris; isc.o; isi.e;
      jiangmin; kaspersky; kernel; linux; listserv; master; math; mcafee;
      messagelabs; mit.e; mozilla; msn.; mydomai; nobody; nodomai; noone;
      norman; norton; not; nothing; ntivi; page; panda; pgp; postmaster;
      privacy; rating; rfc-ed; ripe.; rising; root; ruslis; samples; sdbot;
      secur; sendmail; service; site; slashdot; soft; somebody; someone;
      sopho; sourceforge; spm; submit; support; syma; symantec; tanford.e;
      the.bat; unix; usenet; utgers.ed; viruslis; webmaster; www; you; your

MX文字列を前に入れます：
メールサーバのIPアドレスを取るために、以下の文字列をドメイン名の前に入れます：
   • mx.
   • mail.
   • smtp.
   • mx1.
   • mxs.
   • mail1.
   • relay.
   • ns.
   • gate.

ネットワーク感染感染を確かなものにするために、マルウェアは以下のように他のマシンに接続しようとします。

エクスプロイト(Exploit)
以下のエクスプロイト(Exploit)を利用します：
– MS04-007 (ASN .1 の脆弱性により、コードが実行される)
– MS04-011 (LSASSの脆弱性)

IPアドレス作成
ランダムなIPアドレスを作りますが、その最初の2つの8ビットは同じままです。その後それらと接続しようとします。

感染プロセス
リモートロケーションにマルウェアをダウンロードするため、侵入したマシンにFTPスクリプトを作成します。

IRC システム情報を報告し、リモートコントロールを可能にするために以下のIRCサーバに接続します：

サーバ mmu.fearofthe**********
ポート： 6668
チャンネル #f4r#
ニックネーム RooT-%ランダムな文字列%
パスワード f4rspass

– このマルウェアは以下の情報を収集し送る能力があります：
    • CPU速度
    • ログインしているユーザ
    • ドライバの詳細
    • 空きディスク容量
    • 空きメモリ
    • ネットワークについての情報
    • 起動中のプロセスについての情報
    • メモリサイズ
    • ユーザーネーム
    • ウインドウズOSについての情報

– その他以下のアクションを実行することもできます：
    • DDoS ICMP flood 攻撃を開始します。
    • DDoS SYN flood 攻撃を開始します。
    • DDoS UDP flood 攻撃を開始します。
    • ネットワークシェアを無効にする
    • ダウンロード・ファイル
    • レジストリの編集
    • ネットワークシェアを有効にする
    • 実行ファイル
    • プロセスを強制終了する
    • DDoS攻撃を実行する
    • ネットワーク・スキャンの実行
    • ポート転送を実行する
    • サービスの登録
    • システム再起動
    • メールを送る
    • 伝染ルーチンの開始
    • それ自身をアップデートします。
    • ファイルをアップロードする

バックドア以下のポートが開かれます：

– %SYSDIR%\activesx.exe 無作為に選ばれたTCPポート上に FTPサーバを供給するため

窃盗 – 以下の文字列をチェックするネットワーク・スニファーを利用します。
   • account=; email=; exp=; address=; CVV2=; ccv2=; cvv2=; card=; cctype=;
      ccnumber=; amex=; visa=; mastercard=; VISA=; pass=; login=; password=;
      passwd=; :.login; :!login; :.secure; :!advscan; :.advscan; :.ipscan;
      :!ident; :.ident

ファイルの詳細 プログラム言語:
このマルウェアプログラムはMS Visual C++で書かれています。

ランタイム・パッカー
検出されにくくするため、またファイルのサイズを縮小するため、ランタイム・パッカーで圧縮してあります。

簡単な説明はココにあります。.

この説明は Irina Boldea によって Mon, 25 Sep 2006 09:25 (GMT+1) 書き込まれました。
この説明は Irina Boldea によって Mon, 25 Sep 2006 12:12 (GMT+1) 更新されました。

» About Malware
» About Phishing
» Viruses In the Wild

« back