Worm/Agent.184320 - Worm

参照

概要

詳しい説明

統計

ウイルス	Worm/Agent.184320
発見日：	10/10/2006
タイプ	ワーム
感染報告有り	いいえ
感染報告	低
感染の可能性	中
ダメージ・ポテンシャル	低～中
スタティック・ファイル	はい
ファイル・サイズ	298.528 バイト
MD5　チェックサム	8a1b5f56799b7bcc1751055e93c933a8
VDFファージョン：	6.36.01.54 - Mon, 20 Nov 2006 11:00 (GMT+1)
IVDFファージョン：	6.36.01.57 - Mon, 20 Nov 2006 11:00 (GMT+1)

一般情報 感染方法
   • Eメール

別名
   • Kaspersky(カスペルスキー) Virus.Win32.VB.bp
   • TrendMicro(トレンドマイクロ） WORM_VB.BOE
   • Sophos(ソフォス) W32/Rungbu-B

プラットフォーム/OS：
   • ウインドウズ 95
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP

副作用
   • ファイルを作成します。
   • 悪意ファイルを作成します。
   • レジストリの改変。

実行後、それは以下のウインドウを表示するアプリケーションを開始します：

ファイルそれ自体を以下の場所にコピーします。
   • C:\lsass.exe
   • %SYSDIR%\dllhost.com
   • %WINDIR%\setup\dllhost.com
   • %home%\My Documents\Rated R Pictures.com
   • %WINDIR%\lsass.exe.exe
   • %WINDIR%\AutoRun.ini
   • %WINDIR%\MsWord.exe
   • %PROGRAM FILES%\philconst.exe
   • %WINDIR%\Downloaded Program Files\philconst.exe
   • %削除ファイル%.scr

以下のディレクトリを作成します：
   • %home%\My Documents\Rated R Pictures

以下のサブストリングを含むファイルを削除します：
   • .doc
   • .rtf

以下のファイルが作成されます：

– 悪意のないファイル：
   • %malware executiondirectory%\%実行ファイル%.doc
   • %WINDIR%\OUTSETTN.REG

– %PROGRAM FILES%\microsoft frontpage\outlook.vbs 作成が完了した後、起動されます。詳しい調査の結果、このファイルもマルウェアであることが判明しました。以下のように検出されました： HEUR/Worm.Outlook.VBS

レジストリ以下のレジストリ・キーは、再起動後にそのプロセスを実行するために追加されたものです：

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\
   Run
   • @="%SYSDIR%\dllhost.com"

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • @="\lsass.exe"
   • "WinRun"="%WINDIR%\AutoRun.ini"

以下のレジストリ・キーが追加されます：

– HKCR\datfile\shell\open\command
   • @="\"%WINDIR%\setup\dllhost.com\" %1"

– KEY_CLASSES_ROOT\artfile\shell\open\command
   • @="\"%WINDIR%\setup\dllhost.com\" %1"

– HKCR\piffile\shell\open\command
   • @="\"%WINDIR%\setup\dllhost.com\" %1"

– HKCR\AVIFile\shell\open\command
   • @="\"%WINDIR%\setup\dllhost.com\" %1"

– HKCR\exefile
   • "NeverShowExt"=""

– HKCR\scrfile
   • @="Microsoft Word Document"
   • "NeverShowExt"=""

– HKCR\batfile
   • "NeverShowExt"=""

– HKCR\comfile
   • @="File Folder"

– HKCR\comfile\DefaultIcon
   • @=%SystemRoot%\System32\shell32.dll,3

– HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\MSCrusher
   • "command"="shutdown -s -f -t 0"
   • "hkey"="HKCR"
   • "inimapping"="0"
   • "item"="Shutdowm"
   • "key"="batfile\\shell\\edit\\command"

– HKLM\SOFTWARE\Microsoft\Windows\System\DarkAngel
   • "Expiration-Bug"="3011"

– HKCR\batfile\shell\edit\command
   • @="shutdown -s -f -t 0"

– HKCR\inifile\shell\open\command
   • @="%1" %*"

– HKLM\SYSTEM\CurrentControlSet\Control\TimeZoneInformation
   • "ActiveTimeBias"=dword:ffffff88

以下のレジストリ・キーは変更されます：

あらゆるExplorerの設定:
– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer
   前の値
   • "NoFolderOptions"=dword:00000000
   • "NoRun"=dword:00000000
   新しい値
   • "NoFolderOptions"=dword:00000001
   • "NoRun"=dword:00000001

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\HideFileExt
   新しい値
   • "CheckedValue"=dword:00000001

Regedit（レジストリ編集ツール）及びタスクマネージャを無効化します。
– HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System
   前の値
   • "DisableRegistryTools"=dword:00000000
   新しい値
   • "DisableRegistryTools"=dword:00000001

Eメール 送信者
送信者のアドレスはユーザーのアウトルックのアカウントです。

宛先:
– ウインドウズ・アドレス帳(WAB)を使って集められたメールアドレス

件名
以下のもの：
• Read my letter for you

本文
メールの本文は以下の通りです：
• this was created from the deep inside my heart.

添付ファイル

添付ファイルは、マルウェア自身のコピーです。

プロセス中断以下のプロセスは終了されます：
   • explorer.exe; avgctrl.exe; avgamsvr.exe; avgserv.exe; avginet.exe;
      avgupsvc.exe; avgemc.exe; avgnt.exe; avgregcl.exe; avgserv9.exe;
      avgw.exe; alogserv.exe; avsynmgr.exe; Mpfsheild.exe; MpfAgent.exe;
      mpf.exe; MpfConsole.exe; mcagent.exe; mcappins.exe; McDash.exe;
      mcdetect.exe; mcinfo.exe; mcmnhdlr.exe; mcshield.exe; mctskshd.exe;
      mcupdate.exe; mcvsescn.exe; mcvsshld.exe; mcvsftsn.exe; mcvsrte.exe;
      vstskmgr.exe; vsmain.exe; vshwin32.exe; pccpfw.exe; pccclient.exe;
      pcclient.exe; pccguide.exe; pccnt.exe; pccntmon.exe; pccntupd.exe;
      PcCtlCom.exe; pcscan.exe; avpm.exe; avpcc.exe; kav.exe; kavmm.exe;
      kavsvc.exe; AVENGINE.EXE; nisserv.exe; NISUM.exe; Navapsvc.exe;
      NMain.exe; Navapw32.exe; VetMsg.exe; VetTray.exe; Vet32.exe;
      VetNT.exe; vsmon.exe; zlclient.exe; zapro.exe; zonealarm.exe;
      APVXDWIN.EXE; AVLITE.EXE; AVLTMAIN.EXE; AVTASK.EXE; LUPGCONF.EXE;
      PAVSRV51.EXE; PavPrSrv.exe

ファイルの詳細 プログラム言語:
このマルウェアプログラムはVisual Basicで書かれています。

ランタイム・パッカー
検出されにくくするため、またファイルのサイズを縮小するため、ランタイム・パッカーで圧縮してあります。

簡単な説明はココにあります。.

この説明は Bogdan Iliuta によって Wed, 08 Nov 2006 17:17 (GMT+1) 書き込まれました。
この説明は Bogdan Iliuta によって Wed, 22 Nov 2006 13:25 (GMT+1) 更新されました。

» About Malware
» About Phishing
» Viruses In the Wild

« back