Worm/Sdbot.53675.7 - Worm

参照

概要

詳しい説明

統計

ウイルス	Worm/Sdbot.53675.7
タイプ	ワーム
感染報告有り	はい
感染報告	低
感染の可能性	中
ダメージ・ポテンシャル	中
スタティック・ファイル	はい
ファイル・サイズ	53.675 バイト
MD5　チェックサム	a86b3f776bd1128c7fe8d4ec7dab9ba2
VDFファージョン：	6.36.00.213 - Sun, 05 Nov 2006 15:25 (GMT+1)
IVDFファージョン：	6.36.00.237 - Sun, 05 Nov 2006 15:25 (GMT+1)

一般情報 感染方法
   • ローカル・ネットワーク

別名
   • Kaspersky(カスペルスキー) Backdoor.Win32.SdBot.aad
   • Sophos(ソフォス) W32/Tilebot-HW
   • ウイルスバスター Worm.SdBot.EKM
   • Eset IRC/SdBot
   • ビットディフェンダー(Bitdefender)： Backdoor.Sdbot.J

プラットフォーム/OS：
   • ウインドウズ 95
   • ウインドウズ 98
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • 悪意ファイルを作成します。
   • レジストリの改変。
   • ソフトの脆弱性を利用します。
   • サード・パーティ・コントロール

ファイルそれ自体を以下の場所にコピーします。
• %WINDIR%\lsass.exe

以下のファイルの名前を変更します：

• %SYSDIR%\sfc_os.dll へ %SYSDIR%\trash%5桁のランダムな文字列%

最初に実行したコピーの方を削除します。

以下のファイルが作成されます：

– %SYSDIR%\sfc_os.dll 詳しい調査の結果、このファイルもマルウェアであることが判明しました。以下のように検出されました： TR/Sfc.A.mod

レジストリ以下のレジストリ・キーは、再起動後にそのサービスを読み込むために追加されたものです：

– HKLM\SYSTEM\CurrentControlSet\Services\LSA Shel (Export Version)
   • "Type"=dword:00000110
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000000
   • "ImagePath"="%WINDIR%\lsass.exe"
   • "DisplayName"="LSA Shel (Export Version)"
   • "ObjectName"="LocalSystem"
   • "FailureActions"=%hex値%
   • "Description"="LSA Shel (Export Version)"

以下のレジストリ・キーが追加されます：

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions
   • "p3g9s4o2h8v1"="%現在の日付%"

– HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
   • "SFCScan"=dword:00000000
   • "SFCDisable"=dword:ffffff9d

ネットワーク感染感染を確かなものにするために、マルウェアは以下のように他のマシンに接続しようとします。

以下のネットワーク・シェアにそれ自身のコピーを作成します：
   • d$\windows\system32c$\
   • d$\winnt\system32
   • c$\windows\system32
   • c$\winnt\system32
   • Admin$\system32
   • Admin$

エクスプロイト(Exploit)
以下のエクスプロイト(Exploit)を利用します：
– MS02-061 (SQL Server Web タスクで権限が昇格する)
– MS04-007 (ASN .1 の脆弱性により、コードが実行される)
–MS06-040 : Windows の重要な更新 Server サービスの脆弱性により、リモートでコードが実行される (921883)

感染プロセス
リモートロケーションにマルウェアをダウンロードするため、侵入したマシンにFTPスクリプトを作成します。

リモート実行：
–新しく感染したマシンに、マルウェアのリモート実行を開始しようとします。そのため、NetScheduleJobAdd機能を利用します。

IRC システム情報を報告し、リモートコントロールを可能にするために以下のIRCサーバに接続します：

サーバ mail.telon-**********
ポート： 7412
チャンネル #
ニックネーム [P00|USA| %8桁のランダムな文字列%]

サーバ http.an1mal**********
ポート： 9632
チャンネル #
ニックネーム [P00|USA| %8桁のランダムな文字列%]

– このマルウェアは以下の情報を収集し送る能力があります：
    • 収集されたメールアドレス
    • CPU速度
    • ドライバの詳細
    • 空きディスク容量
    • 空きメモリ
    • ネットワークについての情報
    • 起動中のプロセスについての情報
    • メモリサイズ
    • ユーザーネーム
    • ウインドウズOSについての情報

– その他以下のアクションを実行することもできます：
    • ネットワークシェアを無効にする
    • IRCサーバとの接続を終了します。
    • ダウンロード・ファイル
    • レジストリの編集
    • ネットワークシェアを有効にする
    • 実行ファイル
    • IRCチャンネルに入室する
    • プロセスを強制終了する
    • IRCチャンネルを退室する
    • リモートシェルを開く
    • ネットワーク・スキャンの実行
    • サービスの登録
    • プロセスを終了する

プロセス中断以下のプロセスを中断し、そのプロセスが属するファイルを削除しようとします：
   • bbeagle.exe; d3dupdate.exe; i11r54n4.exe; irun4.exe; MSBLAST.exe;
      mscvb32.exe; PandaAVEngine.exe; Penis32.exe; rate.exe; ssate.exe;
      sysinfo.exe; taskmon.exe; teekids.exe; winsys.exe

バックドア サーバに接続します。
以下のもの：
   • http://www2.dokidoki.ne.jp/tomocrus/cgi-bin/check**********
   • http://www.kinchan.net/cgi-bin/**********
   • http://www.pistarnow.is.net.pl/**********
   • http://cgi.break.power.ne.jp/check/**********
   • http://www.proxy4free.info/cgi-bin/**********
   • http://69.59.137.236/cgi/**********
   • http://tutanchamon.ovh.org/**********
   • http://www.proxy.us.pl/**********
   • http://test.anonproxies.com/**********
   • http://www.nassc.com/**********
   • http://www.littleworld.pe.kr/**********
   • http://www.anonymitytest.com/cgi-bin/**********
   • http://tn0828-web.hp.infoseek.co.jp/cgi-bin/**********

その他 Mutex(ミューテック)
以下のMutex(ミューテック）を作成します：
• 9lcgm4w6f8

ファイルの詳細 プログラム言語:
このマルウェアプログラムはMS Visual C++で書かれています。

ランタイム・パッカー
検出されにくくするため、またファイルのサイズを縮小するため、ランタイム・パッカーで圧縮してあります。

簡単な説明はココにあります。.

この説明は Irina Boldea によって Tue, 30 Jan 2007 16:57 (GMT+1) 書き込まれました。
この説明は Irina Boldea によって Wed, 31 Jan 2007 15:17 (GMT+1) 更新されました。

» About Malware
» About Phishing
» Viruses In the Wild

« back