Worm/Banwarum.E.3 - Worm

参照

概要

詳しい説明

統計

ウイルス	Worm/Banwarum.E.3
発見日：	12/10/2006
タイプ	ワーム
感染報告有り	いいえ
感染報告	低
感染の可能性	中～高
ダメージ・ポテンシャル	中
スタティック・ファイル	はい
ファイル・サイズ	548.352 バイト
MD5　チェックサム	18f6917c204633a587cd0d362b7442a1
VDFファージョン：	6.36.00.94 - Thu, 12 Oct 2006 08:17 (GMT+1)
IVDFファージョン：	6.36.00.110 - Mon, 16 Oct 2006 09:34 (GMT+1)

一般情報 感染方法
   • Eメール
   • ローカル・ネットワーク

別名
   • McAfee(マカフィー) W32/Banwarum@MM
   • Kaspersky(カスペルスキー) Email-Worm.Win32.Banwarum.e
   • TrendMicro(トレンドマイクロ） WORM_RANCHNEG.A
   • F-Secure(エフ・セキュア) Email-Worm.Win32.Banwarum.e
   • Sophos(ソフォス) W32/Banwar-G
   • Grisoft I-Worm/Zasran.D
   • ウイルスバスター I-Worm.Banwarum.D
   • ビットディフェンダー(Bitdefender)： Win32.Worm.Banwarum.A

プラットフォーム/OS：
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • 悪意ファイルを作成します。
   • それ自身のメール・エンジンを利用します。
   • レジストリの改変。
   • 情報を盗みます。
   • サード・パーティ・コントロール

ファイル以下のファイルが作成されます：

– %SYSDIR%\mszsrn32.dll 詳しい調査の結果、このファイルもマルウェアであることが判明しました。

レジストリ以下のレジストリ・キーが追加されます：

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\
   mszsrn32]
   • "DllName"="%SYSDIR%\mszsrn32.dll"
   • "Startup"="Startup"
   • "Asynchronous"=dword:00000001
   • "Impersonate"=dword:00000000
   • "Type"=dword:00000002
   • "SystemId"=dword:a295fd82

Eメールそれはメールを送るためSMTPエンジンが搭載されています。送り先のサーバとの直接接続が構築されます。特徴は以下の通りです：

送信者
送信者のアドレスは改変されています(spoof)。
作成されたアドレスです。送信者は送る意図があって送ったわけではありません。送信者は、感染されたことに気づいていないかもしれませんし、まったく感染していないかもしれません。さらに、あなたが感染されたと告げる多数のメールを受け取る可能性があります。これも真実ではないことがあります。

宛先:
– システム内のあるファイルにあるメールアドレス
– ウインドウズ・アドレス帳(WAB)を使って集められたメールアドレス

件名
以下のもの：
   • Es ist ein Missverstaendnis geschehen; Falschueberweisung;
      Ueberweisung an einen falschen Adressanten; Das Geld das nicht mir
      gehoert; Postbank Ueberweisungen; Ich hab ihr Geld.; Ich habe Geld von
      ihren Postbank Konto bekommen; Warum schicken sie mir Geld?; 1000 Euro
      von der Postbank; Geld von Postbank; Geldueberweisungen;
      Missueberweisungen; Bitte stoppen Sie es; Ihr Geld; Postbank;
      Uberweisungen; Ihre Auszahlungen an mich; Fasches Bankkonto; Geld;
      Falscher Adressant; WM Tickets!; Hallo!; Guten Tag! Hier sind ihre WM
      Tickets!; Sie haben WM Tickets gewonnen!; Holen sie jetzt ihre WM
      Tickets ab!; Weltmeisterschaft!; Komme mit!; JehhuuuU! WWWMMMM!!;
      Gewonnen? GeWONNEN!; Holen sie sich WM Tickets fuer das Finalle
      JETZT!; Du Sexgott!; Du bist mein Sexgott!; Ficke meine Brust!; Ich
      lauf aus bitte leck mich!; Es leuft mir schon das bein Runter Honey!;
      Bums mein Arsch!; Fick mein Po!; Ich bin dauergeill warum?; Umsonst
      mein Arschficken ab 18 Jahren!; Lass dich Umsonst Wixen! Nur ab 18
      Jahren!; Treibs mit einer schlampe!; Betrueg bitte deine Frau mit
      mir!; Ich liebe dich!; Nimm mich durch mein Schadz!; Du machst mich so
      Geil!; Ich hab die neuen Fotos Fertig!; Bums eine Schwarze und gewinne
      WM-Karten!; Ermittlungsverfahren wurde eingeleitet; Sie besitzen
      Raubkopien; Anzeige ist erstatet; Ich Zeige sie an!; Sie betrueger!;
      Ihre Akte!; Sie kommen ins Knast!; Ihre IP wurde geloggt!;
      BundesKriminalAmt; Ich zeige dich an!; Hoer auf damit!; Warum machst
      du das?; Es ist AUS!

本文
メールの本文は以下のうちのどれかです：

   • Sehr geehrte Damen und Herren,

     ich habe vor kurzem 7 WM Tickets fuer meine ganze Familie gekauft, aber wie es isch rausstellte koennen wir wegen politischen Hintergrunden nicht am WM teilnehmen. Deswegen bekommen sie es jetzt. Brauchen sie jetzt nicht zu danken, dennwenn sie jetzt diesen Brief lesen, sind wir schon in einem anderen Land.
     Die Tickets koennen Sie na der Siemens Rezeption abholen, hierzu benoetigte Adresse Habichstrasse 356, Koeln.
     Wir wuenschen ihnen von der ganzen Familie gutes Spiel.
     In dem Anhang haben sie ein Foto von den Tickets, Password fuer den Archiv lautet %ランダムな文字列%

     Mit freundlichen Gruessen
     Salim Heraldulkalam

   • Sehr geehrte Damen und Herren,

     danke das Sie bei unserer Lotterie mitgemacht haben, und wir wollen sie damit benachrichtigen, dass Sie GEWONNEN HABT!
     Alles was jetzt noch zu machen ist, schnell die Tickets ausfuellen und zu WM gehen!
     Dateianhangspassword: %ランダムな文字列%

     Mit freundlichen Gruessen
     Lotterie-NOD GmbH

   • Sehr geehrte Damen und Herren,

     ich bevorzuge ihre friedliche Ansichten, aber wir sind keine Wohltaetigkeitsorganisation, deswegen bitte wir Sie die Geldueberweisungen zu beenden.

     Wir wuerden gerne alles zurueck zahlen was sie an uns bereits abschickten.
     In dem Dateianhang lieg der Log von der Postbank, das Kennwort fur den Archiv lautet %ランダムな文字列%

     Mit freundlichen Gruessen
     Ingrid Behnke

   • Sehr geehrte Damen und Herren,

     warum schicken Sie mir ihr Geld? Ich bedanke mich bei ihnen, aber es gehoert nicht mir und ich brauche es auch nicht, also Meine Kontonummer bei der Postbank 83475687345 Bankleitzahl: 4655437 die sie gemacht haben.
     In dem Attach haben sie ein Log von den Ueberweisungen die sie gemacht haben.
     Password dafuer lautet %ランダムな文字列%

     Mit freundlichen Gruessen
     Gerhard Meyer

   • Sehr geehrte Damen und Herren,

     Sie haben so eben Weltmeisterschaft Tickes gewonnen! Alles was jetzt noch zu machen ist, das Formular in dem Anhang auszufuellen und Sie sind dabei!

     Verpassen Sie ihre einmalige Chance nicht!
     Anhangspassword: %ランダムな文字列%

     Mit freundlichen Gruessen
     Lotto-GDI GmbH

   • Hi,

     thx das du Geld an mich schicks, aber kannste damit auf hoeren?
     Hier eine Kopie des Kontoauszugs von der Postbank in dem Anhang. Password: %ランダムな文字列%

     mfg Henry

   • Sehr geehrte Damen und Herren,

     ich will Sie darauf aufmerksam machen, das Sie ununterbrochen Geld an uns abschicken.
     Es ist wirklich erfreulich, aber das Geld gehoert uns nicht und wir wuerden gerne alles zurueck zahlen.
     Ein Kopie von der Ueberweisung liegt in dem Anhang, das Kennwort dafuer lautet %ランダムな文字列%

     Mit freundlichen Gruessen
     Anne Flachman

   • Sehr geehrte Damen und Herren,

     vor kurzem habe ich eine Ueberweisung von ihrem Bank Konto bekommen und ich wuerde sie gern Fragen wie es dazu kam. Iich danke Ihnen, aber es musste warscheinlich ein Fehler unterlaufen denn ich kenne Sie nicht und Sie kennen nicht.

     Wie koennen wir diesen Missverstaendnis loesen? Am besten rufen Sie mich bitte an wenn es moeglich ist. Meine Telefonnummer lautet 035/98276590
     Ich habe ein Abbild von dem Ueberweisungslog gemacht, dabei habe ich aus versehentlichen Gruenden ein Password darauf gelegt, er lautet %ランダムな文字列%

     Mit Freundlichen Gruessen
     Manfred Schmidt

   • Hallo,

     sie schicken viel Geld an mir, das mir, nicht mein ist. Ich haben eine Posdbank Account.
     Ich schicken alles an du zurueck, wenn du damit aufhoeren Geld zu schicken. Danke.
     Hier eine Anhang mit der Ueberweisung. Password dafuer lautete %ランダムな文字列%

     Have a nice day
     John Walthers

   • Sehr geehrte Damen und Herren,

     wir laden Sie rechtherzlich zu unseren Gewinne WM Tickets Aktion. Alles was dafuer zu machen brauchen ist dieses Formular auszufuellen.
     Das eine Euro das Sie uns schicken wird viele Kinder der dritten Welt erfreuen.
     Das Kennwort fuer den Formular lautet %ランダムな文字列%

     Herzlichen Dank
     Bathe Maune

   • Sehr geehrte Damen und Herren,

     seit Gestern bekomme ich andauernt Geld von Ihnen, ich danke sehr, aber ich glaube es ist ein Fehler unterlaufen.

     Ich habe ein Konto bei der Postbank und es lautet 48756830000443 Bankleitzahl: 94775775
     Bitte ueberpuefen Sie ihre Auszahlungen und rufen sie mich unter folgender Nummer an 056/48576887 damit wir besprechen koennen wie ich Ihr Geld zurueckzahlen konnte.
     In dem Anhang habe ich eine Kopie der Ueberweisung gemacht, Kennwort fuer das Archiv lautet %ランダムな文字列%

     Mit freundlichen Gruessen
     Mattias Botcher

   • Hi, du hast mich mal bei irgendeinem Online-Dating, ich hab gesagt du bist haesslich und geblockt, Sorry,..
     Du bist nicht haesslich, ich war einfach mies drauf. Ich will es wiedergut machen, lade dich damit zu WM, Tickets habe ich ins Attach gelegt,
     entpacke es und druecks aus. Password fuer den Archiv lautet %ランダムな文字列%

     mfg Nadine

   • Sehr geehrte Damen und Herren,

     Sie haben ein Multi-WM-Ticket gewonnen! Mit diesem Ultimativen Ticke koenen sie so viele wie sie wollen zu dem WM Spiel einladen!
     Alles was sie zu machen brauchen ist diesen einen Anhang entpacken und ihre Unterschriften darauf schrieben. Das Kennwort fuer den Anhang lautet %ランダムな文字列%

     Mit freundlichen Gruessen
     WM
     Free Tickets Organisation (kurz gesch. WMFTO)

   • Hi man,

     ich hab gesehen, das du zu WM wolltest, frag nicht wer ich bin und warum ich es mache.
     Hier hast du 5 Stueck, das ist eine spezielle Online Version, drueck es aus und unterschreib.
     Password zu dem Archiv lautet %ランダムな文字列%

     Mfg Niemand ;)

   • Hi Schadz
     ich schreib aus den Inet cafe in Muenchen
     meine neuen Fotos sind fertig und ich vermisse dich!
     Die fotos sind gut geweorden ich hab das alles nur dier zuliebe getann
     und das weisst du!
     Die Fotos hab ich der Email beigefuegt ich hoffe du bist zufrieden
     ah ja und damit sie keiner ausser die oefnet hab ich ein password
     drauf gemacht das password ist mein name also: %ランダムな文字列%

     Mit liebe Monica

   • Hi sexgott
      ich bin so geil das ich nicht mehr kann
     hier ein paar fotos wie ich grade abgehe!
     das password fuer die fotos ist: %ランダムな文字列%

     Gruesse Monica

   • Warum bin ich so dauergeil immer muss ich mir was in die MuMu reinschieben
     ist das vieleicht ungesund wenn ich dir banane rein tue sie fuelt sich so gut an
     was meinst du?
     Guck dir meine Fotos an und sag bescheid!
     das Password fuer die fotos ist: %ランダムな文字列%

     geilen gruss
     Tina

   • Oh BABY!!!

     Ich bin so geil bitte fick mich
     meine muschi leuft aus ich will dich o bitte bitttte.........
     hofffendlich bist du auch Geil wenn du meine Pics siehst :P
     habe dir paar neue mitgeschickt
     das password ist: %ランダムな文字列%

     bye bye

   • Ja ich bin deine HERRIN
     aber du darfst trozdem mein Hintern ficken
     ich weiss nicht warum aber das fuelt sich ueber geil an
     mach das baby oder hast du keine lust?
     Guck dir meine fotos an du wirst schon lust bekommen
     das password fuer die pics ist: %ランダムな文字列%

     cya dein bussi

   • Hi honey

     wie findest du eigendlich das das deine Schwester so Rumhurt?
     ich mag sie voll gerne aber sie hat Robert den Afganer auf party ein geblasen
     und Tina hat das mit der kamera aufgenommen
     es ist deine sache ob du das deinen Eltern zeigst aber das video schick ich dir
     das password dafuer ist : %ランダムな文字列%

     Alles liebe

   • Warum betruegst du Albert?

     Ich hab mir dir geschlafen und habe alles getann was du wolltest und du
     du ficks meine schwester wo ich Zwei tage zu Mama wegfahre?
     Du bist der groesste Arschloch und es ist vorbei!
     das video hat mir Tina geschickt wo du mit ihr gepoppt hast und wie ihr das aufgenommen habt
     das ist das Beweis und du wirst es noch sehen!
     Das video schick ich mit der Email
     das password was ich darauf gemacht habe ist: %ランダムな文字列%

     Fick dich
     Helena

   • Hallo Albert

     Ich habe ein paar fotos fuer dich gemacht und wollte sie dir schicken damit du
     mich nicht so vermisst ich bin in 2 wochen wieder da dann werde ich alle deine wuensche erfuellen versprochen!
     Die fotos sind mit der emial
     das password hab ich raufgemacht es lautet: %ランダムな文字列%

   • Willst du WM tickets gewinnen?

     Dann sende uns eine ausgefueltte kopie des Geweinnzettel und wir schicken dir
     2 Tickets fuer das Finalle!
     Der geweinnzettel ist beigefuegt!
     Ihr persoenliches password lautet: %ランダムな文字列%

     Ihr WM Team

   • Die nacktfotos die ich von ihnen bekamm leitete ich an das Kriminal Amt weiter!
     Das ist Sexuelle belastigung!
     Sie bekommen eine Anzeige und eine geldschtraffe
     melden sie sich in den naexten tagen bei der Polzei!
     Die vorladung und die Fotos als beweis hab ich der Email beigefuegt
     das password ist : %ランダムな文字列%

     Emilion Volks

   • Wir werden sehen ich sperre mich ein!
     Sie drohen mir das sie mich aufschlitzen wollen?
     Ich habe sie gestern Angeziegt und stehe unter Polizei schutz!
     Hier die letzte mahnung hab ich der Email beigefuegt!
     das Password lautet: %ランダムな文字列%

     Werner Blass

   • Warum drohen sie mir hab ich ihnen was getann?
     Ich wusste schon lange das Schwarze nicht erweunscht sind!
     Ich habe sie bei der Polizei angezeigt sie werden sich um sie kuemern
     ich habe der email einen Anhang beigefuergt da drinne ist eine Kopie
     der Anzeige
     das password fuer die Anzeige lautet: %ランダムな文字列%

     mfg
     Ublaskar

   • Sehr geehrte Frau Tisha

     das Zuspammen von meiner Email mir ihren nacktfotos
     bleibt nicht unbemerkt.
     Heute Morgen erstattete ich eine Anzeige bei der BKA Wiesbaden!
     Meinen Anwahlt wurde die sache uebergeben!
     Ich moechte mit ihnen nicht zu tunn haben und ihre Nacktfotos
     schick ich ihnen mit der Anklageschrift zurueck!
     Die fotos und das schreiben hab ich der Email beigefuegt,
     dass password lautet: %ランダムな文字列%
     Bitte keine Fotos und Emails mehr

     mfg
     Kresen

   • Tina es ist schluss!
     Unterlasse es mir die fotos zu schicken
     wir sind nicht mehr zusammen und ich will dich
     nicht mehr nackt sehen!
     Ich habe dich Angezeigt weil das einfach zu weit geht tut mir leid!
     Deine Fotos und die Kopie der Anzeige hab ich in der Email beigefuegt!
     damit deine Intimen fotos keiner sieht hab ich einen password rauf gemacht
     das password ist dein Name: %ランダムな文字列%

     schreib nicht zurueck
     Alexei

   • Guten Tag sehr geehrte Damen und Herren!

     Meine Web-Site zeichnete Angriffe von ihrer IP Auf
     Ich habe mich bei T-Com beschwert und ihre Email bekommen
     bitte unterlassen sie alle angriffe auf meine Web-Site
     die Anzeige ist erstatet! Die anklage schrift hab ich der Email beigefuegt.
     Password fuer die Anklageschrift lautet: %ランダムな文字列%

     mfg
     Karl Stein

   • Sehr geehrte Dame, sehr geehrter Herr,

     das Herunterladen von Filmen, Software und MP3s ist illegal und
     somit strafbar. Wir moechten Ihnen hiermit vorab mitteilen, dass
     Ihr Rechner unter der IP erfasst wurde. Der Inhalt Ihres Rechner
     wurde als Beweismittel sichergestellt und es wird ein
     Ermittlungsverfahren gegen Sie eingleitet.
     Die Strafanzeige und die Moeglichkeit zur Stellungnahme wird
     Ihnen in den naechsten Tagen schriftlich zugestellt.
     Aktenzeichen NR.: (siehe Anhang)
     ACHTUNG: der Anhang ist Password geschuetzt
     der Password fuer den Anhang (ihre Akte)
     lautet: %ランダムな文字列%

     bitte vergessen sie ihn nicht
     Hochachtungsvoll

     i.A. Juergen Stock
     --- Bundeskriminalamt BKA
     --- Referat LS 2
     --- 65173 Wiesbaden
     --- Tel.: +49 (0)611 - 55 - 12331 oder
     --- Tel.: +49 (0)611 - 55 - 0

添付ファイル
添付ファイルの名前は：
   • Rechnung.zip; Kontoauszug.zip; Abbild-Der-Rechnung.zip;
      Rechnung-Anhang.zip; Ueberweisung.zip; Postbank-Ueberweisungen.zip;
      Auszahlungen.zip; Postbank.zip; bank-kontoauszuge.zip; Neuer
      Ordner.zip; WM-Tickets.zip; WM-Anhang.zip; Anhang.zip; Desktop.zip;
      Weltmeisterschaft.zip; New Folder.zip; Tickets.zip; archiv.zip;
      Anhang-Tickets.zip; mypics.zip; meinbild.zip; ichbingeil.zip;
      fickmich.zip; meine_moese.zip; bild01.zip; fotze.zip; reklament.zip;
      sexy.zip; free_pics.zip; free_videos.zip; fick_mich.zip; geil.zip;
      ich_lauf_aus.zip; akte.zip; ihre_akte.zip; vorladung.zip;
      anklageschrift.zip; anklage.zip; Anzeige.zip; bescheinigung.zip;
      beweise.zip; Anklage-Material.zip; IhrEnde.zip; Kopien.zip

添付ファイルはそのマルウェアのコピーを含むアーカイブです。

メールは以下のようなものです：

送信 アドレスの検索：
以下のファイルからメールアドレスを検索します：
   • wab; tbb; tbi; doc; xls; txt; csv; htm; html; xml; adb; asa; asc; asm;
      asp; cgi; con; csp; dbx; dlt; dwt; edm; hta; htc; inc; jsp; jst; lbi;
      php; rdf; rss; sht; ssi; stm; vbp; vbs; wml; xht; xsd; xst

アドレスは無視します：
以下の文字列を含むアドレスにはメールは送られません：
   • admin; info; support; soft; webmaster; help; web; postmaster; root;
      bugs; rating; site; contact; privacy; service; abuse; register; sales;
      cisco; gnu.org; bsd.it; debian; linux; berkeley; google; fido;
      ibm.com; microsoft.com; php.net; .mil; .gov; borland.com; sun.com;
      xinul.com; virus; kaspersky; sophos; ripe.; iana.; drweb.; secure;
      avp.; .arpa

ネットワーク感染感染を確かなものにするために、マルウェアは以下のように他のマシンに接続しようとします。

エクスプロイト(Exploit)
以下のエクスプロイト(Exploit)を利用します：
– MS04-007 (ASN .1 の脆弱性により、コードが実行される)

IPアドレス作成
ランダムなIPアドレスを作りますが、その最初の2つの8ビットは同じままです。その後それらと接続しようとします。

感染プロセス
それは、感染した元のコンピュータから侵入先のコンピュータにマルウェアをダウンロードするよう命令を出します。
ダウンロードしたファイルは、侵入先のマシンに以下の名前で保存されます： %SYSDIR%\mszsrn32.dll
– 感染スレッドを以下の数だけ作成します： 20

バックドア以下のポートが開かれます：

– winlogon.exe 無作為に選ばれたTCPポート上に HTTPサーバを供給するため

サーバに接続します。
以下のもの：
   • http://5dime.net/mmm/**********
   • http://7stick.biz/mmm/**********
   • http://7stick.info/mmm/**********
   • http://brancholania.net/mmm/**********
   • http://brancholania.biz/mmm/**********
   • http://frachetto.com/mmm/**********
   • http://frachetto.info/mmm/**********
   • http://monti2.com/mmm/**********
   • http://olania.com/mmm/**********
   • http://olania.net/mmm/**********

結果、いくつかの情報を送る可能性があります。これはPHPスクリプトを使ったHTTP GETのリクエストを通して行われます。

以下についての情報を送ります：
    • 現在のマルウェアのステータス
    • ウインドウズOSについての情報

挿入(Injection) – 以下のファイルをプロセスに挿入させます： mszsrn32.dll

プロセス名：｜以下のすべて：
• winlogon.exe

その他インターネット接続環境を調べるため、以下のウェブサイトに接続しようとします：
• google.com

簡単な説明はココにあります。.

この説明は Adriana Popa によって Fri, 10 Nov 2006 14:32 (GMT+1) 書き込まれました。
この説明は Adriana Popa によって Wed, 15 Nov 2006 14:03 (GMT+1) 更新されました。

» About Malware
» About Phishing
» Viruses In the Wild

« back