Worm/Sohanad.AE - Worm

参照

概要

詳しい説明

統計

ウイルス	Worm/Sohanad.AE
発見日：	22/02/2007
タイプ	ワーム
感染報告有り	いいえ
感染報告	低
感染の可能性	低～中
ダメージ・ポテンシャル	中
スタティック・ファイル	はい
ファイル・サイズ	185.400 バイト
MD5　チェックサム	cd497af9276785a01a96daf515c4f0a1
VDFファージョン：	6.37.01.140 - Thu, 22 Feb 2007 15:01 (GMT+1) - Thu, 22 Feb 2007 15:01 (GMT+1)
IVDFファージョン：	6.37.01.140 - Thu, 22 Feb 2007 15:01 (GMT+1) - Thu, 22 Feb 2007 15:01 (GMT+1)

一般情報 感染方法
   • メッセンジャー

別名
   • F-Secure(エフ・セキュア) IM-Worm.Win32.Sohanad.ae
   • Eset Win32/Sohanad.AE

プラットフォーム/OS：
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • ファイルをダウンロードします。
   • セキュリティの設定を低くします。
   • レジストリの改変。

ファイルファイルをダウンロードしようとします：

– 場所は以下の通りです：
• http://st83.startlogic.com/**********/Gallery/albums/data/YMworm.exe
ハードディスクの以下のパスにセーヴされます： %SYSDIR%\svchost.exe ダウンロードが終了した後、起動されます。これを書き込んだ時点で、インターネット上でこのファイルにアクセスできなかったため、詳しい調査ができませんでした。

– 場所は以下の通りです：
• http://st83.startlogic.com/**********/Gallery/albums/data/worm2007.exe
ハードディスクの以下のパスにセーヴされます： %SYSDIR%\svchost32.exe ダウンロードが終了した後、起動されます。これを書き込んだ時点で、インターネット上でこのファイルにアクセスできなかったため、詳しい調査ができませんでした。

レジストリ以下のレジストリ・キーは、再起動後にそのプロセスを実行するために追加されたものです：

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • Yahoo Messenger = %SYSDIR%\svchost32.exe
   • Task Manager = %SYSDIR%\svchost.exe

以下のレジストリ・キーは変更されます：

– [HKCU\Software\Yahoo\pager\View\YMSGR_Launchcast]
   前の値
   • content url = %ユーザ設定%
   新しい値
   • content url = http://quicknews.**********

– [HKCU\Software\Yahoo\pager\View\YMSGR_buzz]
   前の値
   • content url = %ユーザ設定%
   新しい値
   • content url = http://quicknews.**********

Regedit（レジストリ編集ツール）及びタスクマネージャを無効化します。
– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System]
   新しい値
   • "DisableRegistryTools"=dword:00000001
   • "DisableTaskMgr"=dword:00000001

Internet Explorerのスタートページ:
– [HKCU\Software\Microsoft\Internet Explorer\Main]
   前の値
   • Start Page = %ユーザ設定%
   新しい値
   • Start Page = http://quicknews.**********

– [HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel]
   新しい値
   • Homepage = dword:00000001

あらゆるExplorerの設定:
– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
   新しい値
   • NoRun = dword:00000001

メッセンジャーメッセンジャーを通して感染します。その特徴は以下の通りです：

– Yahooメッセンジャー

宛先:
コンタクト・リストにあるすべての登録情報

メッセージ
以下のようなメッセージが送られます：

   • hot pics this week http://quicknews.**********/hot.jpg :x

   • never click into the links like something in this image http://quicknews.**********/dontclick.jpg
     :-S !!!

   • ;) 1 of my vacation pictures http://quicknews.**********/vacation2.jpg <:-P

   • Do you realize who is in this image: http://quicknews.**********/who.jpg . Just think for a moment and tell me soon ;))

   • My pics http://quicknews.**********/mypics.jpg b-( <<

   • :D who is beside you in this pic http://quicknews.**********/friendpic1.jpg so good-looking

   • Miss World 2006: http://quicknews.**********/MissWorld.jpg !!

受信メッセージは以下の例に似ているかもしれません：

ファイルの詳細 ランタイム・パッカー
検出されにくくするため、またファイルのサイズを縮小するため、以下のランタイム・パッカーで圧縮してあります。
• UPX

簡単な説明はココにあります。.

この説明は Andrei Gherman によって Fri, 30 Mar 2007 12:49 (GMT+1) 書き込まれました。
この説明は Andrei Gherman によって Fri, 30 Mar 2007 13:53 (GMT+1) 更新されました。

» About Malware
» About Phishing
» Viruses In the Wild

« back