TR/Dldr.iBill.Z - Trojan

参照

概要

詳しい説明

統計

ウイルス	TR/Dldr.iBill.Z
発見日：	07/03/2007
タイプ	ワーム
サブタイプ	Downloader
感染報告有り	はい
感染報告	中～高
感染の可能性	中
ダメージ・ポテンシャル	低～中
スタティック・ファイル	はい
ファイル・サイズ	16.896 バイト
MD5　チェックサム	9e3cb288b54f8d654df29cc004815504
VDFファージョン：	6.38.00.11 - Wed, 07 Mar 2007 09:28 (GMT+1) - Wed, 07 Mar 2007 09:28 (GMT+1)
IVDFファージョン：	6.38.00.11 - Wed, 07 Mar 2007 09:28 (GMT+1) - Wed, 07 Mar 2007 09:28 (GMT+1)

一般情報 感染方法
   • Eメール

別名
   • McAfee(マカフィー) Downloader-AAP

プラットフォーム/OS：
   • ウインドウズ 95
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • 悪意ファイルをダウンロードします。
   • ファイルを作成します。

ファイルそれ自体を以下の場所にコピーします。
   • %SYSDIR%\isca.exe

以下のファイルが作成されます：

– 悪意のないファイル：
   • %SYSDIR%\drivers\wed.tx

ファイルをダウンロードしようとします：

– 場所は以下の通りです：
   • http://floorsovertexas.com/**********
   • http://graceinthedesert.org/**********
   • http://northernsoulclub.com/**********
   • http://starcleaningservice.com.au/**********
   • http://grantc.com/**********
   • http://intercitiprojects.com.au/**********
   • http://invitech.net/**********
   • http://releaseforlife.com/**********
このファイルはさらなるダウンロード先を含むため、新たな危険の原因となる恐れがあります。

– 場所は以下の通りです：
   • http://smartpod.com.au/zynergy/home/10.exe
詳しい調査の結果、このファイルもマルウェアであることが判明しました。

レジストリ以下のレジストリ・キーは、再起動後にそのプロセスを実行するために追加されたものです：

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
• "ShellN"="isca.exe"

以下のレジストリ・キーが追加されます：

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion]
• "wef"=dword:00000037

Eメールそれ自身に伝染する能力はありませんが、メールを通して感染します。特徴は以下の通りです：

メール・デザイン
送信者: "Quelle de" is_as0@quelle.de
件名: Ihre Quelle Bestellung
本文:
   • **************www.quelle.de***************

     Wir bestätigen Ihnen den Eingang Ihrer Bestellung vom 06.03.2007 um 12:46 Uhr:

     Vorgangs-ID: 611661716631
     Verarbeitungscode: ART 0805491165855906868717073885505998909

     Kundennummer: 469391344
     ------------------------------------------------------------------------------

     Sehr geehrte Quelle Kunde,

     vielen Dank für Ihre Bestellung bei www.quelle.de.

     Eine definitive Lieferzusage können wir Ihnen momentan leider nicht geben.

     die Gesamtsumme fär Ihre Rechnung beträgt: 1071,46 Euro (incl. Versandspesen: EUR 5,95)
     Anbei erhalten Sie den detaillierten Rechnung sowie die alle anderen wichtigen Unterlagen zu Ihrem Bestellung im beigefügter ZIP Datei.

     Zahlungswunsch: Bankeinzug
     Gemäß der erteilten Einzugsermächtigung werden wir den Rechnungsbetrag in den nächsten Tagen von Ihrem Konto einziehen.
     Ihre Rechnung ist im PDF-Format erstellt und mit einer "Digitalen Signatur" unterzeichnet worden. Den entsprechenden
     Verifikationsbericht finden Sie im Anhang dieser E-Mail.
     Durch die "Digitale Signatur" wird Ihre Rechnung nach dem Signatur-Gesetz (SigG) anerkannt.

     Es gelten die allgemeinen Geschäftsbedingungen der QUELLE GmbH

     Informationen zum aktuellen Lieferstatus Ihrer Bestellung können Sie unter der Rubrik "Mein Konto/Bestellübersicht" in Ihrem persönlichen Bereich abfragen. Bitte melden Sie sich hierfür einmalig an:
     http://www.quelle.de/extern.cgi?id=611661716631

     Um sich die Rechnung anschauen und die Signatur prüfen zu können, benötigen Sie den Adobe Reader, Version 7.0 (oder höher).
     Sollten Sie keinen Adobe Reader besitzen, können Sie diesen kostenfrei auf der Homepage von Adobe downloaden: http://www.adobe.de/products/acrobat/readstep2.html

     Nach der erfolgreichen Installation des Adobe Readers wird es Ihnen möglich sein, die Rechnungsdatei zu öffnen
     und die Signatur zu prüfen.

     Ihr Quelle Online Team

     ------------------------------------------------------------------------------

     Wir bedanken uns nochmals für Ihre Bestellung.
     Schauen Sie doch bald wieder einmal bei www.quelle.de vorbei.

     Bestätigungs-ID: 469391344 (für interne Zwecke)

     Stempelkarte
     Jetzt anmelden & profitieren!

     http://www.quelle.de/extern.cgi?id=611661716631

     ****************************www.quelle.de********************************

添付ファイル
   • Quelle_Rechnung_nqan599.rar

簡単な説明はココにあります。.

この説明は Dennis Elser によって Wed, 07 Mar 2007 08:44 (GMT+1) 書き込まれました。
この説明は Alexander Vukcevic によって Wed, 07 Mar 2007 11:22 (GMT+1) 更新されました。

» マルウェアについて
» フィッシングについて
» In the Wild ウイルス

« 戻る