Worm/Kipis.U - Worm

参照

概要

詳しい説明

統計

ウイルス	Worm/Kipis.U
発見日：	21/09/2005
タイプ	ワーム
感染報告有り	はい
感染報告	低
感染の可能性	中～高
ダメージ・ポテンシャル	中
スタティック・ファイル	はい
ファイル・サイズ	7.856 バイト
MD5　チェックサム	3030c85b4a6135a1d35bd9ab2d1bfe6b
VDFファージョン：	6.32.00.35 - Wed, 21 Sep 2005 15:59 (GMT+1)

一般情報 感染方法
   • Eメール
   • P2P(ピアツーピア)

別名
   • Symantec(シマンテック) W32.Kipis.A@mm
   • McAfee(マカフィー) W32/Kipis.u@MM
   • Kaspersky(カスペルスキー) Email-Worm.Win32.Kipis.u
   • TrendMicro(トレンドマイクロ） WORM_KIPIS.M
   • Sophos(ソフォス) W32/Kipis-U
   • Grisoft I-Worm/Kipis.AC
   • ウイルスバスター I-Worm.Kipis.L
   • Eset Win32/Kipis.U
   • ビットディフェンダー(Bitdefender)： Win32.Kipis.U@mm

プラットフォーム/OS：
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • セキュリティ・アプリケーションを無効にします。
   • それ自身のメール・エンジンを利用します。
   • レジストリの改変。
   • サード・パーティ・コントロール

ファイルそれ自体を以下の場所にコピーします。
   • %WINDIR%\regedit.com
   • %SYSDIR%\Microsoft\iexplore.exe

以下のファイルを起動しようとします：

– 以下のファイルのうちのどれかを起動しようとします：
   • %SYSDIR%\NOTEPAD.EXE
以下のコマンドラインのパラメータのファイルを起動します： %WINDIR%\win.ini

レジストリ以下のレジストリ・キーが追加されます：

– HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\WOW\boot
   • "shell"="%SYSDIR%\Microsoft\iexplore.exe"

以下のレジストリ・キーは変更されます：

– HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
   前の値
   • "Shell"="Explorer.exe"
   新しい値
   • "Shell"="Explorer.exe %SYSDIR%\Microsoft\iexplore.exe"

Eメールそれはメールを送るためSMTPエンジンが搭載されています。送り先のサーバとの直接接続が構築されます。特徴は以下の通りです：

送信者
送信者のアドレスは改変されています(spoof)。
作成されたアドレスです。送信者は送る意図があって送ったわけではありません。送信者は、感染されたことに気づいていないかもしれませんし、まったく感染していないかもしれません。さらに、あなたが感染されたと告げる多数のメールを受け取る可能性があります。これも真実ではないことがあります。

宛先:
– システム内のあるファイルにあるメールアドレス
– ウインドウズ・アドレス帳(WAB)を使って集められたメールアドレス

件名
以下のもの：
   • Access denied; Re: Love message; Re: 666; Re: I Gey; Re: FUCK YOU!;
      Re: Meeting of gays; Me email; Hotmail password; Re: Crack; Chat
      notify!; Your Dead!; The Cannabis; Re: New Exploit for Windows XP; Re:
      Exploit for Outlook Express 6.0; Love you!; Treffpunkt; Re: Meine
      Daten; Ich liebe dich; Re: Mit dem Geburtstag; Re: Die Begegnung geev;
      Den Vertrag; Re: La Rencontre CHata; Re: rencontre a 15:30; Re: Mes
      donnees; Re: Je t'aime; Avec l'anniversaire; Re: La rencontre des
      gays; Re: El encuentro Chata; Re: Encuentro en 15:30; Re: Mi dados;
      Re: te amo; Con el dia del nacimiento; Re: el Encuentro de los gays

本文
メールの本文は以下の通りです：
   • All right..
   • Thank you..!
   • Agreed...
   • I will come well.
   • Successes..
   • Congrulate..!
   • Danke..
   • Haben sich vereinbart..
   • Gut werde ich.
   • des Erfolges..
   • Danke erreichen.
   • Merci..
   • Bien..
   • Ont convenu..
   • Est d'accord.
   • Je viens bien...
   • De la chance, merci.
   • Gracias Han acordado..
   • esta bien..
   • vendre Bien.
   • los Aciertos..
   • Gracias!

添付ファイル
添付ファイルの名前は以下のものから構成されています：

– 以下のうちのどれかで始まります：
   • Contracto
   • Dados
   • das Dokument
   • data
   • Daten
   • Den Text
   • des Einzelteil
   • die Mitteilung
   • Documento
   • Donnees
   • el Detalle
   • el mensaje
   • El texto
   • info
   • Information
   • la Info
   • le Document
   • le message
   • Le texte
   • Les details
   • Like
   • misk
   • Note
   • postmaster
   • price
   • readme
   • text

以下のうちのどれかが続きます：
   • ..
   • .+
   • _.
   • +.sCR+

    ファイル拡張子は以下のうちのどれかです：
   • sCR
   • scR
   • ScR

添付ファイルは、マルウェア自身のコピーです。

メールは以下のようなものです：

送信 アドレスの検索：
以下のファイルからメールアドレスを検索します：
   • .wab; .txt; .adb; .doc; .dhtm; .php; .msg; .dbx; .tbb; .shtm; .uin;
      .xls; .eml; .pab; .htm

FROM欄のためのアドレス作成
アドレスを作成するのに以下の文字列を使用します：
   • kevin
   • adam
   • linda
   • anna
   • alex
   • david
   • mary
   • maria
   • brenda
   • rosa

この結果に、先ほどアドレスを検索されたファイルの中に見つかったドメインをつなげます。

アドレスは無視します：
以下の文字列を含むアドレスにはメールは送られません：
   • .@microsof; rating@; f-secur; news@; update@; rar@; newvir; anyone@;
      bugs@; contract@; sales@; help@; info@; nobody@; noone@; @kasper;
      admin@; support@; antivir; bsd; listserv; @sopho; @foo; @iana;
      free-av; @messagelab; winzip; google; winrar; abuse@; @panda; @mcafee;
      pgp; @avp.; noreply; root@; postmaster@; @mydomai; podpiska@; mailer-;
      webmaster@; register@; @borlan; @nodomai; @virusli; virus@; @symante;
      @nod3; @bitdefen; @klamav; @drweb; @norman; @fido; @usenet; @ietf;
      @rfc-ed; technical@; suporte@; mozzila; you@; site@; contact@; soft@;
      privacy@; accoun; @license; @somedomai; service@; the.bat; page@;
      spm111@; notice@

MX文字列を前に入れます：
メールサーバのIPアドレスを取るために、以下の文字列をドメイン名の前に入れます：
   • @smtp.
   • mx.
   • mx1.
   • mail.
   • mxs.
   • mail1.
   • relay.
   • ns.
   • gate.

P2P P2P(ピアツーピア)ネットワーク内の他のシステムに感染するため、以下のアクションを実行します：

–   以下のサブストリング(substring)を含むディレクトリを検索します：
   • share
   • microsof

   成功すると、以下のファイルが作成されます：
   • Land Attack(source and files).exe
   • DDoS bot(src)..scr
   • Forum Hack.txt.scr
   • Winamp 6(plugins).exe
   • Crack collection.scr
   • NLP.scr
   • Hack Unix Server(info).scr
   • Screensaver for Hackers.scr
   • Windows 2000(source code).scr
   • Hack Chat.exe
   • Kaspersy Antivirus Key(ver.5.xx,Pro,Personal).exe

   それらのファイルはこのマルウェアのコピーです。

プロセス中断以下の文字列を含むプロセスは終了されます：
   • anvir; apv; avc; aveng; avg; avk; avp; avw; avx; blackd; blacki; blss;
      cfi; clean; defwat; drweb; egedit.ex; ewall; fsa; fsm; guard; hijack;
      hxde; ilemon; kerio; klagent; klamav; luacomserv; minilog.; monitor;
      mooli; mosta; mpf; nav; neomon; netarm; netspy; nisse; nisum; nod3;
      nod3; norman; normis; norton; outpos; pav; pavsrv; pcc; protect;
      proxy.; rav; rfw; spider; svc.; syman; taskmgr; tmon; trojan; updat;
      upgrad; virus; vsmon; zapro.; zonalm; zonea

バックドア以下のポートが開かれます：

– %実行されたマルウェアのディレクトリ%\%実行ファイル% TCPポートに 137 バックドアを開くため

その他 Mutex(ミューテック)
以下のMutex(ミューテック）を作成します：
• [+] -- KiPiSH -- [+]

ファイルの詳細 プログラム言語:
このマルウェアプログラムはMS Visual C++で書かれています。

ランタイム・パッカー
検出されにくくするため、またファイルのサイズを縮小するため、以下のランタイム・パッカーで圧縮してあります。
• FSG

簡単な説明はココにあります。.

この説明は Irina Boldea によって Tue, 12 Sep 2006 15:48 (GMT+1) 書き込まれました。
この説明は Irina Boldea によって Tue, 12 Sep 2006 16:43 (GMT+1) 更新されました。

» About Malware
» About Phishing
» Viruses In the Wild

« back