Worm/Lovgate.W.3 - Worm

参照

概要

詳しい説明

統計

ウイルス	Worm/Lovgate.W.3
発見日：	21/05/2004
タイプ	ワーム
感染報告有り	はい
感染報告	低
感染の可能性	中～高
ダメージ・ポテンシャル	中
スタティック・ファイル	はい
ファイル・サイズ	118.784 バイト
MD5　チェックサム	b622c59dfb06aaa01382a7db6bfb9e75
VDFファージョン：	6.25.00.74 - Fri, 21 May 2004 16:56 (GMT+1)

一般情報 感染方法
   • Eメール
   • ローカル・ネットワーク
   • P2P(ピアツーピア)

別名
   • Symantec(シマンテック) W32.Lovgate.R@mm
   • McAfee(マカフィー) W32/Lovgate.x@MM
   • Kaspersky(カスペルスキー) Email-Worm.Win32.LovGate.w
   • Sophos(ソフォス) W32/Lovgate-V
   • Grisoft I-Worm/Lovgate.X
   • ウイルスバスター I-Worm.Lovgate.AP2
   • Eset Win32/Lovgate.Z
   • ビットディフェンダー(Bitdefender)： Win32.Lovgate.V@mm

プラットフォーム/OS：
   • ウインドウズ 95
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • 悪意ファイルを作成します。
   • それ自身のメール・エンジンを利用します。
   • セキュリティの設定を低くします。
   • レジストリの改変。
   • サード・パーティ・コントロール

ファイルそれ自体を以下の場所にコピーします。
   • %システム・ドライブ・ルート%\WINDOWS\SYSTRA.EXE
   • %システム・ドライブ・ルート%\COMMAND.EXE
   • %システム・ドライブ・ルート%\WINDOWS\System32\IEXPLORE.EXE
   • %システム・ドライブ・ルート%\WINDOWS\System32\RAVMOND.exe
   • %システム・ドライブ・ルート%\WINDOWS\System32\hxdef.exe
   • %システム・ドライブ・ルート%\WINDOWS\System32\kernel66.dll

以下の場所にあるアーカイブ内にそれ自身をコピーします：
   • %システム・ドライブ・ルート%\WORK.ZIP
   • %システム・ドライブ・ルート%\WORK.RAR
   • %システム・ドライブ・ルート%\setup.ZIP
   • %システム・ドライブ・ルート%\setup.RAR
   • %システム・ドライブ・ルート%\Important.ZIP
   • %システム・ドライブ・ルート%\Important.RAR
   • %システム・ドライブ・ルート%\bak.ZIP
   • %システム・ドライブ・ルート%\bak.RAR
   • %システム・ドライブ・ルート%\letter.ZIP
   • %システム・ドライブ・ルート%\letter.RAR
   • %システム・ドライブ・ルート%\pass.ZIP
   • %システム・ドライブ・ルート%\pass.RAR

以下のファイルが作成されます：

– %システム・ドライブ・ルート%\WINDOWS\System32\ODBC16.dll 詳しい調査の結果、このファイルもマルウェアであることが判明しました。以下のように検出されました： Worm/Lovgate.W.DLL

– %システム・ドライブ・ルート%\WINDOWS\System32\msjdbc11.dll 詳しい調査の結果、このファイルもマルウェアであることが判明しました。以下のように検出されました： Worm/Lovgate.W.DLL

– %システム・ドライブ・ルート%\WINDOWS\System32\MSSIGN30.DLL 詳しい調査の結果、このファイルもマルウェアであることが判明しました。以下のように検出されました： Worm/Lovgate.W.DLL

– %システム・ドライブ・ルート%\WINDOWS\System32\NetMeeting.exe 詳しい調査の結果、このファイルもマルウェアであることが判明しました。以下のように検出されました： Worm/Lovgate.W.1

– %システム・ドライブ・ルート%\AUTORUN.INF

レジストリ以下のレジストリ・キーは、再起動後にそのプロセスを実行するために追加されたものです：

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • "Protected Storage"="RUNDLL32.EXE MSSIGN30.DLL ondll_reg"
   • "Program In Windows"="%SYSDIR%\IEXPLORE.EXE"
   • "Microsoft NetMeeting Associates, Inc."="NetMeeting.exe"
   • "VFW Encoder/Decoder Settings"="RUNDLL32.EXE MSSIGN30.DLL ondll_reg"
   • "Hardware Profile"="%SYSDIR%\hxdef.exe"

以下のレジストリ・キーは、再起動後にそのサービスを読み込むために追加されたものです：

– HKLM\SYSTEM\CurrentControlSet\Services\_reg
   • "Type"=dword:00000010
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000001
   • "ImagePath"=Rundll32.exe msjdbc11.dll ondll_server
   • "DisplayName"="_reg"
   • "ObjectName"="LocalSystem"

以下のレジストリ・キーが追加されます：

– HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows
   • "run"="RAVMOND.exe"

Eメールそれはメールを送るためSMTPエンジンが搭載されています。送り先のサーバとの直接接続が構築されます。特徴は以下の通りです：
MAPI(Messaging Application Programming Interface)を使って受信箱にあるメールに返信します。特徴は以下の通りです：

送信者
送信者のアドレスは改変されています(spoof)。
作成されたアドレスです。送信者は送る意図があって送ったわけではありません。送信者は、感染されたことに気づいていないかもしれませんし、まったく感染していないかもしれません。さらに、あなたが感染されたと告げる多数のメールを受け取る可能性があります。これも真実ではないことがあります。

宛先:
– システム内のあるファイルにあるメールアドレス
– ウインドウズ・アドレス帳(WAB)を使って集められたメールアドレス
– 作成されたアドレス

件名
以下のもの：
   • Error
   • Status
   • Server Report
   • Mail Transaction Failed
   • Mail Delivery System
   • hello
   • Re:%元の件名%

件名はランダムな文字列になっていることもあります。

本文
– 本文はランダムな文字列を含むこともあります。

メールの本文は以下の通りです：
   • Mail failed. For further assistance, please contact!
   • The message contains Unicode characters and has been sent as a binary attachment.
   • It's the long-awaited film version of the Broadway hit. The message sent as a binary attachment.
メールの本文は以下の通りです：

   • %元の送信者% wrote:
     ====
     %元の本文%
     ====
     %送信者のドメイン% account auto-reply

      If you can keep your head when all about you
      Are losing theirs and blaming it on you;
      If you can trust yourself when all men doubt you,
      But make allowance for their doubting too;
      If you can wait and not be tired by waiting,
      Or, being lied about,don't deal in lies,
      Or, being hated, don't give way to hating,
      And yet don't look too good, nor talk too wise;
      ... ... more look to the attachment.

      > Get your FREE %送信者のドメイン% now! <

添付ファイル
添付ファイルの名前は：
   • the hardcore game-.pif
   • Sex in Office.rm.scr
   • Deutsch BloodPatch!.exe
   • s3msong.MP3.pif
   • Me_nude.AVI.pif
   • How to Crack all gamez.exe
   • Macromedia Flash.scr
   • SETUP.EXE
   • Shakira.zip.exe
   • dreamweaver MX (crack).exe
   • StarWars2 - CloneAttack.rm.scr
   • Industry Giant II.exe
   • DSL Modem Uncapper.rar.exe
   • joke.pif
   • Britney spears nude.exe.txt.exe
   • I am For u.doc.exe
添付ファイルの名前は以下のものから構成されています：

– 以下のうちのどれかで始まります：
   • body
   • message
   • test
   • data
   • file
   • text
   • doc
   • readme
   • document
   • %ランダムな文字列%

    ファイル拡張子は以下のうちのどれかです：
   • bat
   • cmd
   • exe
   • scr
   • pif
   • zip

添付ファイルは、マルウェア自身のコピーです。

添付ファイルはそのマルウェアのコピーを含むアーカイブです。

メールは以下のようなものです：

送信 アドレスの検索：
以下のファイルからメールアドレスを検索します：
   • wab
   • adb
   • tbb
   • dbx
   • asp
   • php
   • sht
   • htm
   • txt
   • tmp

TO欄とFROM欄のためのアドレス作成
アドレスを作成するのに以下の文字列を使用します：
   • sandra; linda; julie; jimmy; jerry; helen; debby; claudia; brenda;
      anna; brent; adam; ted; fred; jack; bill; stan; smith; steve; matt;
      dave; dan; joe; jane; bob; robert; peter; tom; ray; mary; serg; brian;
      jim; maria; leo; jose; andrew; sam; george; david; kevin; mike; james;
      michael; alex; john

この結果に、先ほどアドレスを検索されたファイルの中に見つかったドメインをつなげます。

ドメインは以下の通りです：
   • hotmail.com
   • yahoo.com
   • msn.com
   • aol.com

アドレスは無視します：
以下の文字列を含むアドレスにはメールは送られません：
   • accoun; certific; listserv; ntivi; support; icrosoft; admin; page;
      the.bat; gold-certs; feste; submit; not; help; service; privacy;
      somebody; soft; contact; site; rating; bugs; you; your; someone;
      anyone; nothing; nobody; noone; webmaster; postmaster; samples; info;
      root; mozilla; utgers.ed; tanford.e; pgp; acketst; secur; isc.o;
      isi.e; ripe.; arin.; sendmail; rfc-ed; ietf; iana; usenet; fido;
      linux; kernel; google; ibm.com; fsf.; gnu; mit.e; bsd; math; unix;
      berkeley; foo.; .mil; gov.; .gov; ruslis; nodomai; mydomai; example;
      inpris; borlan; sopho; panda; icrosof; syma; avp; .edu; -._!; -._!@;
      abuse; www; be_loyal:

MX文字列を前に入れます：
メールサーバのIPアドレスを取るために、以下の文字列をドメイン名の前に入れます：
   • gate.
   • ns.
   • relay.
   • mail1.
   • mxs.
   • mx1.
   • smtp.
   • mail.
   • mx.

P2P P2P(ピアツーピア)ネットワーク内の他のシステムに感染するため、以下のアクションを実行します：

– すべての共有ディレクトリを検索します。

   成功すると、以下のファイルが作成されます：
   • Support Tools.exe; Cain.pif; client.exe; Documents and
      Settings.txt.exe; findpass.exe; i386.exe; Internet Explorer.bat;
      Microsoft Office.exe; mmc.exe; MSDN.ZIP.pif; Support Tools.exe;
      Windows Media Player.zip.exe; WindowsUpdate.pif; winhlp32.exe;
      WinRAR.exe; xcopy.exe

   それらのファイルはこのマルウェアのコピーです。

ネットワーク感染感染を確かなものにするために、マルウェアは以下のように他のマシンに接続しようとします。

以下のネットワーク・シェアにそれ自身のコピーを作成します：
   • admin$\system32

リモート・マシンへのアクセスを得るために、以下のログイン情報を使用します：

– 以下のユーザ名：
   • Guest
   • Administrator

– 以下のパスワード：
   • zxcv; yxcv; xxx; win; test123; test; temp123; temp; sybase; super;
      sex; secret; pwd; pw123; Password; owner; oracle; mypc123; mypc;
      mypass123; mypass; love; login; Login; Internet; home; godblessyou;
      god; enable; database; computer; alpha; admin123; Admin; abcd; aaa;
      88888888; 2600; 2004; 2003; 123asd; 123abc; 123456789; 1234567;
      123123; 121212; 11111111; 110; 007; 00000000; 000000; pass; 54321;
      12345; password; passwd; server; sql; !@; $%^&*; !@; $%^&; !@; $%^;
      !@; $%; asdfgh; asdf; !@; $; 1234; 111; root; abc123; 12345678;
      abcdefg; abcdef; abc; 888888; 666666; 111111; admin; administrator;
      guest; 654321; 123456

プロセス中断以下の文字列を含むプロセスは終了されます：
   • RISING; SKYNET; SYMANTEC; MCAFEE; GATE; RFW.EXE; RAVMON.EXE; KILL;
      NAV; DUBA; KAV

以下のサービスは無効にされます：
   • Rising Realtime Monitor Service
   • Symantec AntiVirus Server
   • Symantec AntiVirus Client

バックドア以下のポートが開かれます：

– %実行されたマルウェアのディレクトリ%\%実行ファイル% 無作為に選ばれたTCPポート上にバックドアを開くため

ファイルの詳細 プログラム言語:
このマルウェアプログラムはMS Visual C++で書かれています。

ランタイム・パッカー
検出されにくくするため、またファイルのサイズを縮小するため、ランタイム・パッカーで圧縮してあります。

簡単な説明はココにあります。.

この説明は Irina Boldea によって Wed, 25 Oct 2006 13:50 (GMT+1) 書き込まれました。
この説明は Irina Boldea によって Mon, 06 Nov 2006 11:39 (GMT+1) 更新されました。

» About Malware
» About Phishing
» Viruses In the Wild

« back