Worm/Hakaglan.B - Worm

参照

概要

詳しい説明

統計

ウイルス	Worm/Hakaglan.B
発見日：	05/04/2007
タイプ	ワーム
感染報告有り	はい
感染報告	低
感染の可能性	中
ダメージ・ポテンシャル	中
スタティック・ファイル	はい
ファイル・サイズ	268.216 バイト
MD5　チェックサム	0D94f594bca6d09ab3423b962da0e9df
IVDFファージョン：	6.38.00.184 - Thu, 05 Apr 2007 19:39 (GMT+1)

一般情報 感染方法
   • 割り当てられたネットワーク・ドライブ
   • メッセンジャー

別名
   • McAfee(マカフィー) Downloader-FL
   • F-Secure(エフ・セキュア) Worm.Win32.AutoIt.c
   • Sophos(ソフォス) W32/SillyFDC-G
   • Grisoft Worm/Autoit.X
   • Eset Win32/Hakaglan.B
   • ビットディフェンダー(Bitdefender)： Win32.Worm.Sohanat.AB

プラットフォーム/OS：
   • ウインドウズ 95
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • セキュリティの設定を低くします。
   • レジストリの改変。
   • サード・パーティ・コントロール

ファイルそれ自体を以下の場所にコピーします。
   • %SYSDIR%\RVHOST.exe
   • %WINDIR%\RVHOST.exe
   • %ドライバ% \New Folder.exe

以下のファイルが作成されます：

– %WINDIR%\tasks\At1.job マルウェアを決められた時間に起動するための予定されたタスクです。

レジストリ以下のレジストリ・キーは、再起動後にそのプロセスを実行するために追加されたものです：

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • Yahoo Messengger = %SYSDIR%\RVHOST.exe

以下のレジストリ・キーは変更されます：

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
   前の値
   • Shell = Explorer.exe
   新しい値
   • Shell = Explorer.exe RVHOST.exe

– [HKLM\SYSTEM\CurrentControlSet\Services\Schedule]
   新しい値
   • AtTaskMaxHours = 0

Regedit（レジストリ編集ツール）及びタスクマネージャを無効化します。
– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System]
   新しい値
   • DisableTaskMgr = 1
   • DisableRegistryTools = 1

あらゆるExplorerの設定:
– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
   新しい値
   • NofolderOptions = 1

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\
   WorkgroupCrawler\Shares]
   新しい値
   • shared = \\%コンピュータ名%\%ドライバ% \New Folder.exe

メッセンジャーメッセンジャーを通して感染します。その特徴は以下の通りです：

– Yahooメッセンジャー

宛先:
アドレス帳に登録された相手のうちいまオンライン中の全員

メッセージ
以下のようなメッセージが送られます：

• %インターネットで収集された%

受信メッセージは以下の例に似ているかもしれません：

バックドア サーバに接続します。
以下のもの：
   • http://nhatquanglan2.0catch.com/**********
   • http://nhatquanglan2.0catch.com/**********
   • http://www.freewebs.com/nhattruongquang/**********

結果、リモート・コントロール機能が生まれます。サーバの回答がファイルに書き込まれます： %SYSDIR%\settings.ini

リモート・コントロール機能
    • ダウンロード・ファイル
    • 実行ファイル
    • スパムに関係のある
    • ウェブサイトを訪問します。

簡単な説明はココにあります。.

この説明は Andrei Gherman によって Fri, 14 Mar 2008 09:02 (GMT+1) 書き込まれました。
この説明は Andrei Gherman によって Fri, 14 Mar 2008 10:00 (GMT+1) 更新されました。

» About Malware
» About Phishing
» Viruses In the Wild

« back