TR/Dldr.iBill.A - Trojan

参照

概要

詳しい説明

統計

ウイルス	TR/Dldr.iBill.A
発見日：	07/01/2007
タイプ	トロイの木馬
サブタイプ	Downloader
感染報告有り	はい
感染報告	高
感染の可能性	低
ダメージ・ポテンシャル	中
スタティック・ファイル	はい
ファイル・サイズ	9.181 バイト
MD5　チェックサム	19a960f2ae534915040Bcb60afaa295f
VDFファージョン：	6.37.00.110 - Sun, 07 Jan 2007 16:06 (GMT+1)
IVDFファージョン：	6.37.00.114 - Sun, 07 Jan 2007 16:06 (GMT+1)

一般情報 感染方法
   • それ自体に伝染能力はない

プラットフォーム/OS：
   • ウインドウズ 95
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • ファイルをダウンロードします。
   • レジストリの改変。
   • サード・パーティ・コントロール

起動後以下の情報が表示されます：

ファイルそれ自体を以下の場所にコピーします。
• %SYSDIR%\%ランダムな文字列%.exe

レジストリ以下のレジストリ・キーは、再起動後にそのプロセスを実行するために追加されたものです：

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • WinUpdate = %SYSDIR%\%ランダムな文字列%.exe

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
   • WinUpdate = %SYSDIR%\%ランダムな文字列%.exe

以下のレジストリ・キーが追加されます：

– [HKCU\Software\Microsoft\OLE]
   • WinUpdate = %SYSDIR%\%ランダムな文字列%.exe

– [HKCU\SYSTEM\CurrentControlSet\Control\Lsa]
   • WinUpdate = %SYSDIR%\%ランダムな文字列%.exe

以下のレジストリ・キーは変更されます：

– [HKLM\SOFTWARE\Microsoft\Ole]
   新しい値
   • WinUpdate = %SYSDIR%\%ランダムな文字列%.exe

– [HKLM\SYSTEM\CurrentControlSet\Control\Lsa]
   新しい値
   • WinUpdate = %SYSDIR%\%ランダムな文字列%.exe

Eメールそれ自身に伝染する能力はありませんが、メールを通して感染します。特徴は以下の通りです：

件名
以下のもの：
   • 1&1 Internet AG - Ihre Rechnung %番号%

本文
メールの本文は以下の通りです：

   • Sehr geehrter 1&1 Kunde,

     anbei erhalten Sie Ihre Rechnung vom 29.12.2006.
     die Gesamtsumme für Ihre Rechnung im Monat Dezember beträgt: 59,99 Euro.

     Gemäß der erteilten Einzugsermächtigung werden
     wir den Betrag in den nächsten Tagen von Ihrem Konto einziehen.

     Ihre Rechnung finden Sie als Anhang im
     PDF-EXE-Format. Zum Lesen und Ausdrucken
     benötigen Sie kein zusätzliches Programm!

     Fragen zu Ihrer Rechnung beantwortet Ihnen gerne
     unsere 1&1 Rechnungsstelle unter 0180 5 201 026 (12 ct/Min.)
     Übrigens: Wir haben unsere Servicezeiten für Sie
     erweitert und sind nun von Mo - Sa 08:00 - 20:00 Uhr für Sie da.

     Mit freundlichen Grüßen

     Ihr 1&1 WebHosting-Team

     [Dies ist eine automatisch generierte Nachricht,
     bitte antworten Sie nicht an diesen Absender.
     Falls Sie Fragen an den 1&1 Support haben,
     verwenden Sie bitte das Kontaktformular unter www.**********]

添付ファイルの名前は：
   • Rechnung.pdf.exe

バックドア サーバに接続します。
以下のうちのどれか１つ：
   • http://www.marketing-know-how.com/bookreview/inc/**********
   • http://www.blingblingventures.com/snake1/uploads/avatars/**********
   • http://www.ronindesigns.net/images/cars/**********
   • http://www.alexkabobhouse.com/images/**********
   • http://testing-one-two.com/editor/**********
   • http://66.235.203.21/~academic/img/**********
   • http://deja-rue.com/mypix/**********

以下についての情報を送ります：
    • 現在のマルウェアのステータス

リモート・コントロール機能
    • ダウンロード・ファイル

挿入(Injection) – それ自身をプロセスに挿入させます。

プロセス名：｜以下のうちの１つ：
• svchost.exe

ファイルの詳細 ランタイム・パッカー
検出されにくくするため、またファイルのサイズを縮小するため、以下のランタイム・パッカーで圧縮してあります。
• FSG

簡単な説明はココにあります。.

この説明は Andrei Gherman によって Mon, 08 Jan 2007 09:52 (GMT+1) 書き込まれました。
この説明は Andrei Gherman によって Tue, 09 Jan 2007 14:00 (GMT+1) 更新されました。

» About Malware
» About Phishing
» Viruses In the Wild

« back