Worm/Khanani.A - Worm

参照

概要

詳しい説明

統計

ウイルス	Worm/Khanani.A
発見日：	28/01/2008
タイプ	ワーム
感染報告有り	はい
感染報告	低
感染の可能性	中～高
ダメージ・ポテンシャル	低～中
スタティック・ファイル	はい
ファイル・サイズ	147.456 バイト
MD5　チェックサム	889e0Ae6f6e8469c070Ee2ed3c2d58f8
IVDFファージョン：	7.00.02.61 - Mon, 28 Jan 2008 16:51 (GMT+1)

一般情報 感染方法
   • 割り当てられたネットワーク・ドライブ
   • P2P(ピアツーピア)

別名
   • McAfee(マカフィー) W32/Bindo.worm
   • Kaspersky(カスペルスキー) P2P-Worm.Win32.Malas.h
   • F-Secure(エフ・セキュア) P2P-Worm.Win32.Malas.h
   • Eset Win32/Malas.D
   • ビットディフェンダー(Bitdefender)： Win32.Worm.P2P.Agent.AM

プラットフォーム/OS：
   • ウインドウズ 95
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • ファイルを作成します。
   • セキュリティの設定を低くします。
   • レジストリの改変。

ファイルそれ自体を以下の場所にコピーします。
   • %TEMPDIR%\svchost.exe
   • %PROGRAM FILES%\Common Files\Microsoft Shared\MSshare.exe
   • %home%\userinit.exe
   • %WINDIR%\Web\OfficeUpdate.exe
   • %ドライバ% :\autoply.exe

以下のファイルにセクションが追加されます。
– 宛先: %ALLUSERSPROFILE%\Start Menu\Programs\Accessories\Calculator.lnk 以下の内容：
   •

– 宛先: %home%\Start Menu\Programs\Accessories\Notepad.lnk 以下の内容：
   •

– 宛先: %home%\Start Menu\Programs\Accessories\Command Prompt.lnk 以下の内容：
   •

以下のファイルが作成されます：

– 悪意のないファイル：
   • %home%\Desktop\Important.htm
   • %home%\My Documents\Important.htm
   • %home%\Desktop\Iran_Israel.Jpg
   • %home%\My Documents\Iran_Israel.Jpg
   • %ALLUSERSPROFILE%\Documents\My Pictures\Sample Pictures\Iran_Israel.Jpg

– %ドライバ% :\Autorun.inf これは以下の内容を含む、悪意のないテキスト・ファイルです：
   •

– %ALLUSERSPROFILE%\Start Menu\Programs\Startup\Office Update.lnk
– %WINDIR%\tasks\at1.job マルウェアを決められた時間に起動するための予定されたタスクです。
– %WINDIR%\tasks\at2.job マルウェアを決められた時間に起動するための予定されたタスクです。

レジストリ以下のレジストリ・キーは、再起動後にそのプロセスを実行するために追加されたものです：

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • SoundMax = %home%\userinit.exe

以下のレジストリ・キーの値が消えています：

– [HKCR\lnkfile]
   • IsShortCut

– [HKCR\piffile]
   • IsShortCut

– [HKCR\InternetShortcut]
   • IsShortCut

以下のレジストリ・キーは変更されます：

あらゆるExplorerの設定:
– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
   前の値
   • Hidden = %ユーザ設定%
   • HideFileExt = %ユーザ設定%
   • ShowSuperHidden = %ユーザ設定%
   新しい値
   • Hidden = 2
   • HideFileExt = 2
   • ShowSuperHidden = 2

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
   新しい値
   • Nofolderoptions = 1

P2P P2P(ピアツーピア)ネットワーク内の他のシステムに感染するため、以下のアクションを実行します：

– 以下のディレクトリを検索します：
   • %PROGRAM FILES%\Kazaa Lite\My Shared Folder\
   • %PROGRAM FILES%\Kazaa\My Shared Folder\
   • %PROGRAM FILES%\Edonkey2000\Incoming\
   • %PROGRAM FILES%\Icq\Shared Files\
   • %PROGRAM FILES%\emule\incoming\
   • %PROGRAM FILES%\Gnucleus\Downloads\Incoming\
   • %PROGRAM FILES%\KMD\My Shared Folder\
   • %PROGRAM FILES%\Limewire\Shared\
   • %PROGRAM FILES%\XPCode\
   • C:\Inetpub\ftproot\

   成功すると、以下のファイルが作成されます：
   • Sex_ScreenSaver.scr
   • Sex_Game.exe
   • SexGame.exe
   • SexScreenSaver.scr
   • SexGameList.pif
   • Games.lnk

   それらのファイルはこのマルウェアのコピーです。

共有ディレクトリはおおよそ以下のようになります：

ファイルの詳細 プログラム言語:
このマルウェアプログラムはMS Visual C++で書かれています。

簡単な説明はココにあります。.

この説明は Andrei Gherman によって Mon, 16 Jun 2008 14:32 (GMT+1) 書き込まれました。
この説明は Andrei Gherman によって Mon, 16 Jun 2008 14:44 (GMT+1) 更新されました。

» About Malware
» About Phishing
» Viruses In the Wild

« back