TR/Virtumonde.26730 - Trojan

参照

概要

詳しい説明

統計

ウイルス	TR/Virtumonde.26730
発見日：	02/04/2007
タイプ	トロイの木馬
サブタイプ	Downloader
感染報告有り	いいえ
感染報告	低
感染の可能性	低
ダメージ・ポテンシャル	低～中
スタティック・ファイル	はい
ファイル・サイズ	26730 バイト
MD5　チェックサム	731396df61f1cedc2b70ab33ebb0c0b3
VDFファージョン：	6.38.00.161 - Tue, 03 Apr 2007 08:50 (GMT+1)
IVDFファージョン：	6.38.00.165 - Tue, 03 Apr 2007 08:50 (GMT+1)

一般情報 感染方法
   • それ自体に伝染能力はない

プラットフォーム/OS：
   • ウインドウズ 95
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • 悪意ファイルをダウンロードします。
   • セキュリティの設定を低くします。
   • レジストリの改変。

ファイルそれ自体を以下の場所にコピーします。
• %SYSDIR%\%5桁のランダムな文字列%.dll

ファイルをダウンロードしようとします：

– 場所は以下の通りです：
• http://89.188.16.15/ths/lo1.dll**********
ハードディスクの以下のパスにセーヴされます： %SYSDIR%\%5桁のランダムな文字列%.dll ダウンロードが終了した後、起動されます。詳しい調査の結果、このファイルもマルウェアであることが判明しました。

レジストリ以下のレジストリ・キーが追加されます：

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Control Panel\
   Settings]
   • "Time"=%現在の時刻%

– [HKCR\CLSID\{E44527F6-1296-4A84-B67D-A6CEA6ED4B69}\InprocServer32]
   • @="%実行されたマルウェアのディレクトリ%\%実行ファイル%"
   • "ThreadingModel"="Both"

– [HKCU\Software\Microsoft\Installer]
   • @=%hex 数字%

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
   ShellExecuteHooks]
   • "{E44527F6-1296-4A84-B67D-A6CEA6ED4B69}"=""

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\
   %実行ファイル%]
   • "Asynchronous"=dword:00000001
   • "DllName"="%実行ファイル%"
   • "Impersonate"=dword:00000000
   • "Logon"="Logon"
   • "Logoff"="Logoff"

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings]
   • "GlobalUserOffline"=dword:00000000

以下のレジストリ・キーは変更されます：

Internet Explorerセキュリティの設定を低くします:
– [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\
   Zones\3]
   前の値
   • "1A10"=%ユーザ設定%
     "{A8A88C49-5EB2-4990-A1A2-0876022C854F}"=%ユーザ設定%
   新しい値
   • "1A10"=dword:00000000
     "{A8A88C49-5EB2-4990-A1A2-0876022C854F}"=%hex 数字%

バックドア サーバに接続します。
以下のもの：
• http://65.243.103.80/80/67247**********&t=%現在の日付%**********

結果、いくつかの情報を送る可能性があります。これはPHPスクリプトを使ったHTTP GETのリクエストを通して行われます。

挿入(Injection) – それ自身をプロセスに挿入させます。

    プロセス名：｜以下のすべて：
   • Explorer.exe
   • Winlogon.exe
   • %目に見えるウインドウのあるプロセス%

その他 Mutex(ミューテック)

以下のMutex(ミューテック）を作成します：
• _ConsprMutx
• awx_mutant

ファイルの詳細 プログラム言語:
このマルウェアプログラムはMS Visual C++で書かれています。

ランタイム・パッカー
検出されにくくするため、またファイルのサイズを縮小するため、以下のランタイム・パッカーで圧縮してあります。
• UPX

簡単な説明はココにあります。.

この説明は Monica Ghitun によって Thu, 19 Apr 2007 09:24 (GMT+1) 書き込まれました。
この説明は Monica Ghitun によって Thu, 19 Apr 2007 12:29 (GMT+1) 更新されました。

» About Malware
» About Phishing
» Viruses In the Wild

« back