Worm/Zafi.D - Worm

参照

概要

詳しい説明

統計

ウイルス	Worm/Zafi.D
発見日：	14/12/2004
タイプ	ワーム
感染報告有り	はい
感染報告	中
感染の可能性	中～高
ダメージ・ポテンシャル	中
スタティック・ファイル	はい
ファイル・サイズ	11.745 バイト
MD5　チェックサム	387ea0a6f410281971b3fc53b7777a40
VDFファージョン：	6.29.00.15 - Tue, 14 Dec 2004 13:42 (GMT+1)

一般情報 感染方法
   • Eメール
   • P2P(ピアツーピア)

別名
   • Symantec(シマンテック) W32/Zafi.d@MM
   • McAfee(マカフィー) W32/Zafi.d@MM
   • Kaspersky(カスペルスキー) Email-Worm.Win32.Zafi.d
   • Sophos(ソフォス) W32/Zafi-D
   • Grisoft I-Worm/Zafi.D
   • ビットディフェンダー(Bitdefender)： Win32.Zafi.D@mm

プラットフォーム/OS：
   • ウインドウズ 95
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

起動後以下の情報が表示されます：

ファイルそれ自体を以下の場所にコピーします。
• %SYSDIR%\Norton Update.exe

以下のファイルが作成されます：

– 収集したメールアドレスを含んだファイル
• %SYSDIR%\%ランダム%.dll

– C:\s.cm

レジストリ以下のレジストリ・キーは、再起動後にそのプロセスを実行するために追加されたものです：

– HKLM\Software\Microsoft\Windows\CurrentVersion\Run
   • "Wxp4" = "%SYSDIR%\Norton Update.exe"

以下のレジストリ・キーが追加されます：

– [HKLM\Software\Microsoft\Wxp4]
   • rD=dword:00000101
   • t1="%現在のユーザ名%"
   • t3="%SYSDIR%\Norton Update.exe"
   • t4="%SYSDIR%\%ランダムな文字列%.dll"
   • lA="%PROGRAM FILES%\MSN\MSNCoreFiles"

Eメールそれはメールを送るためSMTPエンジンが搭載されています。送り先のサーバとの直接接続が構築されます。特徴は以下の通りです：
メールの言語はTLD(Top Level Domain)に従って選択されます。

送信者
送信者のアドレスは改変されています(spoof)。

宛先:
– システム内のあるファイルにあるメールアドレス
– ウインドウズ・アドレス帳(WAB)を使って集められたメールアドレス
– 作成されたアドレス

件名
以下のもの：
   • Christmas - Kartki!
   • Christmas Vykort!
   • Christmas Kort!
   • Christmas Postkort!
   • Christmas postikorti!
   • Christmas Atviruka!
   • Weihnachten card.
   • Prettige Kerstdagen!
   • Christmas pohlednice
   • Fw: ecard.ru
   • Fw: Merry Christmas!
   • Merry Christmas!
   • Re: Merry Christmas!
   • Weihnachten card.
   • Joyeux Noel!
   • Buon Natale!

本文
– HTMLコードを含みます。

添付ファイル
添付ファイルの名前は以下のものから構成されています：

   • kartki
   • link
   • postcard
   • weihnachten
   • vykort
   • postkort
   • postikorti
   • atviruka
   • kerstdagen
   • pohlednice
   • ecarte
   • cartoline
   • navidad

   • christmas
   • card
   • postcard
   • index
   • kartki
   • link
   • postcard
   • weihnachten
   • vykort
   • postkort
   • postikorti
   • atviruka
   • kerstdagen
   • pohlednice
   • ecarte
   • cartoline
   • navidad

    その後に以下のうちのどれかが続くことがあります：
   • christmas
   • index

    その後に以下の偽の拡張子のうちのどれかが続きます：
   • gif%4桁のランダムな文字列%
   • jpg%4桁のランダムな文字列%
   • php%4桁のランダムな文字列%

    ファイル拡張子は以下のうちのどれかです：
   • zip
   • cmd
   • bat
   • pif

これは添付ファイルの名前がどのようなものであるかの例です：
   • postcard.christmas.jpg7230.cmd
   • vykort.index.jpg8253.zip
   • weihnachten.christmas.php3720.pif

添付ファイルはそのマルウェアのコピーを含むアーカイブです。

メールは以下のようなものです：

送信 アドレスの検索：
以下のファイルからメールアドレスを検索します：
   • htm; wab; txt; dbx; tbb; asp; php; sht; adb; mbx; eml; pmr; fpt; inb
上記のドメイン表と同じものを利用します。

ドメインは以下の通りです：
   • .hu; .sp; .ru; .dk; .ro; .se; .no; .fi; .lt; .pl; .pt; .de; .nl; .cz;
      .fr; .it; .mx; .at; .es

アドレスは無視します：
以下の文字列を含むアドレスにはメールは送られません：
   • yaho; google; win; use; info; help; admi; webm; micro; msn; hotm;
      suppor; syman; viru; trend; secur; panda; cafee; sopho; kasper;

P2P P2P(ピアツーピア)ネットワーク内の他のシステムに感染するため、以下のアクションを実行します：

–   以下のサブストリング(substring)を含むディレクトリを検索します：
   • share
   • upload
   • music

   成功すると、以下のファイルが作成されます：
   • winamp 5.7 new!.exe
   • ICQ 2005a new!.exe

   それらのファイルはこのマルウェアのコピーです。

プロセス中断以下の文字列を含むプロセスは終了されます：
   • firewall
   • virus
   • reged
   • msconfig
   • task

バックドア以下のポートが開かれます：
TCPポートに 8181 バックドアを開くため

その他 Mutex(ミューテック)
以下のMutex(ミューテック）を作成します：
• Wxp4

ファイルの詳細 プログラム言語:
このマルウェアプログラムはMS Visual C++で書かれています。

ランタイム・パッカー
検出されにくくするため、またファイルのサイズを縮小するため、以下のランタイム・パッカーで圧縮してあります。
• FSG 2.0

簡単な説明はココにあります。.

この説明は Ernest Szocs によって Fri, 26 Oct 2007 09:44 (GMT+1) 書き込まれました。
この説明は Ernest Szocs によって Fri, 26 Oct 2007 12:39 (GMT+1) 更新されました。

» About Malware
» About Phishing
» Viruses In the Wild

« back