Worm/Ntech.C - Worm

参照

概要

詳しい説明

統計

ウイルス	Worm/Ntech.C
発見日：	08/08/2007
タイプ	ワーム
感染報告有り	はい
感染報告	低
感染の可能性	中
ダメージ・ポテンシャル	中
スタティック・ファイル	いいえ
ファイル・サイズ	20.992 バイト
IVDFファージョン：	6.39.00.221 - Wed, 08 Aug 2007 14:28 (GMT+1)

重要な情報 • 分析はまだ終了していません。結果の詳細については後でもう一度チェックしなおしてください。

一般情報 感染方法
   • Eメール

プラットフォーム/OS：
   • ウインドウズ NT
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • 悪意ファイルをダウンロードします。
   • 悪意ファイルを作成します。
   • それ自身のメール・エンジンを利用します。

ファイル以下のディレクトリを作成します：
   • %WINDIR%\temp\

ファイルを上書きします。
– %SYSDIR%\driver\secdrv.sys

以下のファイルが作成されます：

– %SYSDIR%\driver\runtime.sys 作成が完了した後、起動されます。以下のように検出されました： RKit/Posh.A

– %WINDIR%\temp\startdrv.exe 以下のように検出されました： Worm/Ntech.C

– %SYSDIR%\driver\runtime2.sys 以下のように検出されました： RKit/Posh.A

ファイルをダウンロードしようとします：

– 場所は以下の通りです：
   • http://67.18.114.98/**********
ハードディスクの以下のパスにセーヴされます： %TEMPDIR%\%ランダムにいくつか選ばれた0から9までの数%8.exe ダウンロードが終了した後、起動されます。詳しい調査の結果、このファイルもマルウェアであることが判明しました。

以下のファイルを起動しようとします：

– 以下のファイルのうちのどれかを起動しようとします：
   • %SYSDIR%\driver\runtime2.sys
タスク・マネージャからプロセスを隠すのに利用されます。以下のように検出されました： RKit/Posh.A

レジストリ再起動後そのプロセスを実行するため、以下の値のうちの１つを追加します：

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • startdrv"="%WINDIR%\Temp\startdrv.exe"

以下のレジストリ・キーは、再起動後にそのサービスを読み込むために追加されたものです：

– HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SECDRV\0000\Control\
   ActiveService
   • Secdrv

– HKLM\SYSTEM\ControlSet001\Enum\Root\LEGACY_RUNTIME\0000\Control\
   ActiveService
   • runtime

– HKLM\SYSTEM\ControlSet001\Enum\Root\LEGACY_RUNTIME2\0000\Control\
   ActiveService
   • runtime2

Eメールそれはスパムメールを送るためSMTPエンジンが搭載されています。送り先のサーバとの直接接続が構築されます。特徴は以下の通りです：

送信者
インターネットで収集されたアドレスです。送信者は送る意図があって送ったわけではありません。送信者は、感染されたことに気づいていないかもしれませんし、まったく感染していないかもしれません。さらに、あなたが感染されたと告げる多数のメールを受け取る可能性があります。これも真実ではないことがあります。

宛先:
– インターネットで収集されたアドレス

件名
以下のもの：
   • A pretty-pretty fly
   • Always ready
   • Anything else?
   • Enjoy with you hard stick
   • Here is it
   • Hot game
   • Hot pictures
   • Joy stick
   • Magic is real
   • Magic stick
   • Something hot
   • Super stick
   • To be or not to be. To be...
   • Very-very magic stick
   • You ask me about this game, Here is it
   • You can...

件名は空欄になっています。
件名はランダムな文字列です。

本文
メールの本文は以下のうちのどれかです：

   • , !

     Funny game. fucks ... In your attachemnt.

   • , !

     Amusing game. fucks ... In your attachemnt.

以下のうちのどれかが続きます：

   • Best Regards.

   • Bye.

   • Good Bye.

   • Regards.

   • Thanks.

%replacement 1% は以下のうちのどれかに取り替えられます:    • Good afternoon
   • Good Day
   • Good evening
   • Good morning
   • Hello
   • Helo
   • Hi

%replacement ２% は以下のうちのどれかに取り替えられます:    • buddy
   • dear Friend
   • dear
   • friend
   • man
   • old chap

%replacement 3% は以下のうちのどれかに取り替えられます:    • Angelina Jolie
   • Carrie Ann Moss
   • Lara Croft
   • Nicole Kidman

%replacement ４% は以下のうちのどれかに取り替えられます:    • Dart Wader
   • Harry Potter
   • Luke Skywalker

添付ファイル

添付ファイルはそのマルウェアのコピーを含むアーカイブです。

メールは以下のうちのどれかであることもあります：

バックドア サーバに接続します。
以下のうちのどれか１つ：
• 216.195.61.87:2581

リモート・コントロール機能
• メールを送る

ルートキット・テクノロジー(Rootkit Technology) – それ自身のファイル
– それ自身のプロセス

使用されているメソッド：
    • IDTから隠されています。

以下のAPI機能にホック（ＨＯＯＫ）します:
   • ZwDeleteValueKey
   • ZwEnumerateKey
   • ZwOpenKey
   • ZwSetValueKey

簡単な説明はココにあります。.

この説明は Viktor Graeber によって Wed, 08 Aug 2007 12:36 (GMT+1) 書き込まれました。
この説明は Andrei Ivanes によって Thu, 09 Aug 2007 09:02 (GMT+1) 更新されました。

» マルウェアについて
» フィッシングについて
» In the Wild ウイルス

« 戻る