Worm/Sober.AB - Worm

参照

概要

詳しい説明

統計

ウイルス	Worm/Sober.AB
発見日：	29/04/2007
タイプ	ワーム
感染報告有り	はい
感染報告	高
感染の可能性	高
ダメージ・ポテンシャル	中
スタティック・ファイル	はい
ファイル・サイズ	89.274 バイト
MD5　チェックサム	b8c0c8f33f47c39794dff68489a706ce
VDFファージョン：	6.38.01.89 - Fri, 04 May 2007 16:33 (GMT+1)
IVDFファージョン：	6.38.01.93 - Fri, 04 May 2007 16:33 (GMT+1)
エンジンのバージョン	6.30.00.07

一般情報 感染方法
   • Eメール

別名
   • Symantec(シマンテック) W32.Sober.AA@MM
   • McAfee(マカフィー) W32/Sober.gen@MM
   • Kaspersky(カスペルスキー) Email-Worm.Win32.Sober.aa
   • F-Secure(エフ・セキュア) Email-Worm.Win32.Sober.aa
   • Sophos(ソフォス) W32/Sober-AD
   • ビットディフェンダー(Bitdefender)： Win32.Sober.Gen

以前に以下のように検知されました:
   • Worm/Sober.GEN

プラットフォーム/OS：
   • ウインドウズ 95
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • セキュリティ・アプリケーションを無効にします。
   • 悪意ファイルをダウンロードします。
   • それ自身のメール・エンジンを利用します。
   • レジストリの改変。

   - synchronizes time with several ntp servers (ntp.scx.ru, vega.cbk.poznan.pl)
   - event-/time-driven
   - contains encrypted strings

ファイル以下のディレクトリを作成します：
   • %WINDIR%\PoolData\

それ自身のコピーを、表の中のファイル名を使って作成します。
– 宛先: %WINDIR%\PoolData\ 以下の名前のうちのどれかを利用します：
   • smss.exe
   • csrss.exe
   • services.exe

ファイルを上書きします。
– %SYSDIR%\drivers\tcpip.sys

以下のファイルが作成されます：

– このファイルは一時的に使用されるタイプで、後で消去される可能性があります。
   • %WINDIR%\PoolData\xpsys.ddr

ファイルをダウンロードしようとします：

NTPプロトコル経由で行われる時間の同期構築は以下の時点で引き起こされます。
日付： 05/05/2007

– 場所は以下の通りです：
   • hometown.aol.com**********
   • .tripod.com**********
   • journals.aol.com**********
   • .blogspot.com**********
   • www.geocities.com**********
   • .blog.ca**********
   • .blogger.de**********
   • myblog.de**********
   • 20six.de**********
   • mitglied.lycos.de**********
   • myspace.com**********
   • forum.lycos.de**********
これを書き込んだ時点で、インターネット上でこのファイルにアクセスできなかったため、詳しい調査ができませんでした。

レジストリ以下のレジストリ・キーは、再起動後にそのプロセスを実行するために追加されたものです：

– WinData
• c:\windows\\PoolData\\services.exe

Eメールそれはメールを送るためSMTPエンジンが搭載されています。送り先のサーバとの直接接続が構築されます。特徴は以下の通りです：
メールの言語はTLD(Top Level Domain)に従って選択されます。

トリガー条件
マルウェアは、ＮＴＰプロトコルから取り出された地方時次第で送信のルーチンを開始します。

送信者
作成されたアドレスです。送信者は送る意図があって送ったわけではありません。送信者は、感染されたことに気づいていないかもしれませんし、まったく感染していないかもしれません。さらに、あなたが感染されたと告げる多数のメールを受け取る可能性があります。これも真実ではないことがあります。

宛先:
– システム内のあるファイルにあるメールアドレス
メールの件名は以下の中から構成されます：

    以下のうちのどれかから始まることがあります：
   • Ihr Passwort wurde geandert!

    その後に以下のうちのどれかが続くことがあります：
   • Fehlerhafte Mailzustellung

    その後に以下のうちのどれかが続くことがあります：
   • Ihr Account wurde eingerichtet!

    その後に以下のうちのどれかが続くことがあります：
   • Your Updated Password!

本文
– 本文はランダムな文字列を含みます。

メールの本文は以下のうちのどれかです：
以下のうちのどれかから始まることがあります：

   • Danke das Sie sich fuer uns entschieden haben.


以下のものが続くことがあります：

   • Diese Nachricht wurde automatisch generiert

添付ファイル

添付ファイルはそのマルウェアのコピーを含むアーカイブです。

ファイルの詳細 プログラム言語:
このマルウェアプログラムはVisual Basicで書かれています。

ランタイム・パッカー
検出されにくくするため、またファイルのサイズを縮小するため、以下のランタイム・パッカーで圧縮してあります。
• UPX

簡単な説明はココにあります。.

この説明は Dennis Elser によって Fri, 04 May 2007 14:45 (GMT+1) 書き込まれました。
この説明は Dennis Elser によって Mon, 07 May 2007 07:06 (GMT+1) 更新されました。

» マルウェアについて
» フィッシングについて
» In the Wild ウイルス

« 戻る