Worm/Agent.aii - Worm

参照

概要

詳しい説明

統計

ウイルス	Worm/Agent.aii
発見日：	25/10/2006
タイプ	ワーム
感染報告有り	いいえ
感染報告	低
感染の可能性	中
ダメージ・ポテンシャル	中
スタティック・ファイル	はい
ファイル・サイズ	733.184 バイト
MD5　チェックサム	bbe4701b9fbb05416993791b02b98653
VDFファージョン：	6.36.00.149 - Mon, 23 Oct 2006 09:52 (GMT+1)
IVDFファージョン：	6.36.00.166 - Wed, 25 Oct 2006 16:10 (GMT+1)

一般情報 感染方法
   • Eメール

別名
   • McAfee(マカフィー) Generic BackDoor.u
   • Kaspersky(カスペルスキー) Backdoor.Win32.Agent.aii
   • Sophos(ソフォス) W32/Mytob-JI
   • Eset Win32/Mytob.VE

プラットフォーム/OS：
   • ウインドウズ 95
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • それ自身のメール・エンジンを利用します。
   • レジストリの改変。
   • 情報を盗みます。
   • サード・パーティ・コントロール

ファイルそれ自体を以下の場所にコピーします。
• %SYSDIR%\winemail.exe

レジストリ以下のレジストリ・キーが、再起動後そのプロセスを実行するため、無限ループの中に持続的に追加されます：

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "Windows Email"="winemail.exe"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
   • "Windows Email"="winemail.exe"

以下のレジストリ・キーが追加されます：

– [HKLM\SOFTWARE\Microsoft\RFC1156Agent\CurrentVersion\Parameters]
   • "TrapPollTimeMilliSecs"=dword:00003a98

– [HKLM\SOFTWARE\Licenses]
   • "{R7C0DB872A3F777C0}"=%hex値%
   • "{K7C0DB872A3F777C0}"=%hex値%
   • "{I7B4ED451FFFFFFFF}"=%hex値%
   • "{07B4ED451FFFFFFFF}"=%hex値%

– [HKCR\CLSID\{7B4ED451-7B4E-D451-7B4E-D4517B4ED451}]
   • @="Media Clip"
   • "AppID"="{00022601-0000-0000-C000-000000000046}"

– [HKCR\CLSID\{7B4ED451-7B4E-D451-7B4E-D4517B4ED451}\AuxUserType\2]
   • @="Media Clip"

– [HKCR\CLSID\{7B4ED451-7B4E-D451-7B4E-D4517B4ED451}\DataFormats\
   DefaultSet]
   • @="MPlayer"

– [HKCR\CLSID\{7B4ED451-7B4E-D451-7B4E-D4517B4ED451}\DataFormats\
   GetSet\0]
   • @="Embed Source,1,8,1"

– [HKCR\CLSID\{7B4ED451-7B4E-D451-7B4E-D4517B4ED451}\DataFormats\
   GetSet\1]
   • @="3,1,32,1"

– [HKCR\CLSID\{7B4ED451-7B4E-D451-7B4E-D4517B4ED451}\DataFormats\
   GetSet\2]
   • @="8,1,1,1"

– [HKCR\CLSID\{7B4ED451-7B4E-D451-7B4E-D4517B4ED451}\DefaultIcon]
   • @="mplay32.exe,1"

– [HKCR\CLSID\{7B4ED451-7B4E-D451-7B4E-D4517B4ED451}\InprocHandler32]
   • @="ole32.dll"

– [HKCR\CLSID\{7B4ED451-7B4E-D451-7B4E-D4517B4ED451}\Insertable]
   • @=""

– [HKCR\CLSID\{7B4ED451-7B4E-D451-7B4E-D4517B4ED451}\LocalServer]
   • @="mplay32.exe"

– [HKCR\CLSID\{7B4ED451-7B4E-D451-7B4E-D4517B4ED451}\LocalServer32]
   • @="mplay32.exe"

– [HKCR\CLSID\{7B4ED451-7B4E-D451-7B4E-D4517B4ED451}\MiscStatus]
   • @="0"

– [HKCR\CLSID\{7B4ED451-7B4E-D451-7B4E-D4517B4ED451}\ProgID]
   • @="MPlayer"

– [HKCR\CLSID\{7B4ED451-7B4E-D451-7B4E-D4517B4ED451}\verb\0]
   • @="&Play,0,3"

– [HKCR\CLSID\{7B4ED451-7B4E-D451-7B4E-D4517B4ED451}\verb\1]
   • @="&Edit,0,2"

– [HKCR\CLSID\{7B4ED451-7B4E-D451-7B4E-D4517B4ED451}\verb\2]
   • @="&Open,0,2"

Eメールそれはメールを送るためSMTPエンジンが搭載されています。送り先のサーバとの直接接続が構築されます。特徴は以下の通りです：

送信者
送信者のアドレスは改変されています(spoof)。

宛先:
– システム内のあるファイルにあるメールアドレス
– ウインドウズ・アドレス帳(WAB)を使って集められたメールアドレス

件名
以下のもの：
   • Account Alert
   • %rランダムな言葉%

本文
– HTMLコードを含みます。
– 他のマルウェアへのリンクを含みます。
– 空欄であることもあります。
– 本文はランダムな文字列を含むこともあります。

メールの本文は以下のうちのどれかです：

   • Dear Valued Member,
     According to our terms of services, you will have to confirm your e-mail by the following link, or your account will be suspended for security reasons.
     http://www.%メールアドレスから取られた送信者のドメイン名と最上位ドメイン%/confirm.php?account= %受信者のメールアドレス%
     After following the instructions in the sheet, your account will not be interrupted and will continue as normal.
     Thanks for your attention to this request. We apologize for any inconvenience.
     Sincerely, %メールアドレスから取られた送信者のドメイン名% Department

メールは以下のようなものです：

送信 アドレスの検索：
以下のファイルからメールアドレスを検索します：
   • txt; htm; sht; jsp; cgi; xml; php; asp; dbx; tbb; adb; html; wab

FROM欄のためのアドレス作成
アドレスを作成するのに以下の文字列を使用します：
   • abuse

この結果に、先ほどアドレスを検索されたファイルの中に見つかったドメインをつなげます。

TO欄のためのアドレス作成
アドレスを作成するのに以下の文字列を使用します：
   • %ランダムな文字列%

この結果に、先ほどアドレスを検索されたファイルの中に見つかったドメインをつなげます。

アドレスは無視します：
以下の文字列を含むアドレスにはメールは送られません：
   • mcafee; symantec; sophos; bitdefender; avg; kaspersky; avast; nod32;
      vba32; antivir; avira; cat-quickheal; clamav; drweb; f-prot; etrust;
      fortinet; ikarus; norman; panda; thehacker; ewido; spm; fcnz; www;
      secur; abuse

MX文字列を前に入れます：
メールサーバのIPアドレスを取るために、以下の文字列をドメイン名の前に入れます：
   • mx.
   • mail.
   • smtp.
   • mx1.
   • mxs.
   • mail1.
   • relay.
   • ns.
   • gate.

IRC システム情報を報告し、リモートコントロールを可能にするために以下のIRCサーバに接続します：

サーバ mail.yfcdavao.**********
ポート： 3132
チャンネル #email
ニックネーム email%6桁のランダムな文字列%
パスワード r00ted

– このマルウェアは以下の情報を収集し送る能力があります：
    • CPU速度
    • ログインしているユーザ
    • 空きディスク容量
    • 空きメモリ
    • ネットワークについての情報
    • メモリサイズ
    • ウインドウズOSについての情報

– その他以下のアクションを実行することもできます：
    • IRCサーバと接続します。
    • ダウンロード・ファイル
    • 実行ファイル
    • IRCチャンネルに入室する
    • IRCチャンネルを退室する
    • メールを送る
    • それ自身をアップデートします。

その他 Mutex(ミューテック)
以下のMutex(ミューテック）を作成します：
• gfbgslkvtgf

ファイルの詳細 プログラム言語:
このマルウェアプログラムはMS Visual C++で書かれています。

ランタイム・パッカー
検出されにくくするため、またファイルのサイズを縮小するため、以下のランタイム・パッカーで圧縮してあります。
• UPX

簡単な説明はココにあります。.

この説明は Monica Ghitun によって Wed, 25 Oct 2006 14:44 (GMT+1) 書き込まれました。
この説明は Monica Ghitun によって Wed, 22 Nov 2006 16:17 (GMT+1) 更新されました。

» About Malware
» About Phishing
» Viruses In the Wild

« back