TR/Dldr.iBill.BD - Trojan

参照

概要

詳しい説明

統計

ウイルス	TR/Dldr.iBill.BD
発見日：	24/10/2008
タイプ	トロイの木馬
サブタイプ	Downloader
感染報告有り	はい
感染報告	低～中
感染の可能性	中
ダメージ・ポテンシャル	中
スタティック・ファイル	はい
ファイル・サイズ	33.792 バイト
MD5　チェックサム	57127815d6864a495151e49c7bf7d192
IVDFファージョン：	7.00.07.83 - Fri, 24 Oct 2008 11:42 (GMT+1)

一般情報 感染方法
   • Eメール

別名
   • Symantec(シマンテック) W32.SillyFDC
   • McAfee(マカフィー) Downloader-AAP trojan
   • Kaspersky(カスペルスキー) Worm.Win32.Downloader.wh
   • F-Secure(エフ・セキュア) Worm:W32/AutoRun.IT
   • Sophos(ソフォス) Troj/Agent-IAJ
   • Grisoft Pakes.AJY
   • Eset Win32/TrojanDownloader.Agent.OJX trojan
   • ビットディフェンダー(Bitdefender)： Win32.Worm.Autorun.NT

以前に以下のように検知されました:
   • TR/Dropper.Gen

プラットフォーム/OS：
   • ウインドウズ 95
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • 悪意ファイルをダウンロードします。
   • セキュリティの設定を低くします。
   • レジストリの改変。

ファイルそれ自体を以下の場所にコピーします。
   • %PROGRAM FILES%\Microsoft common\svchost.exe

最初に実行したコピーの方を削除します。

以下のファイルが作成されます：

– このファイルは一時的に使用されるタイプで、後で消去される可能性があります。
   • %temporary internet files%\02[1].exe

ファイルをダウンロードしようとします：

– 場所は以下の通りです：
   • http://re**********t.mobi/02.exe
ハードディスクの以下のパスにセーヴされます： %SYSDIR%\mxwxc.exe ダウンロードが終了した後、起動されます。詳しい調査の結果、このファイルもマルウェアであることが判明しました。以下のように検出されました： TR/Drop.iBill.BD

レジストリ以下のレジストリ・キーが追加されます：

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\
Image File Execution Options\explorer.exe]
• "Debugger"="%PROGRAM FILES%\Microsoft Common\svchost.exe"

Eメールそれ自身に伝染する能力はありませんが、メールを通して感染します。特徴は以下の通りです：

送信者
送信者のアドレスは改変されています(spoof)。

件名
以下のもの：
   • Auflistung der Kosten
   • Amtsgericht Koeln
   • Inkasso

メールの本文は以下のうちのどれかです：

   • Sehr geehrte Damen und Herren
     Ihr Abbuchungsauftrag Nr.46538563 wurde erfullt.
     Ein Betrag von 484.00 EURO wurde abgebucht und wird in Ihrem Bankauszug
     als "Vattenfallabbuchung " angezeigt.
     Die Auflistung der Kosten finden Sie im Anhang in der Datei: Rechnung.

     Alle unsere Rechnungen sind mit einem Sicherheitszertifikat versehen - der ist fuer Sie nicht von Bedeutung

     Vattenfall Europe AG
     Chausseestra?e 23
     10115 Berlin

     Vertretungsberechtigter: Karl Treumeier
     Umsatzsteuerident-Nummer: DR123052388
     Handelsregisternummer HRB 74215B

   • Sehr geehrte Damen und Herren!
     Die Anzahlung Nr.771090603943 ist erfolgt
     Es wurden 6666.88 EURO Ihrem Konto zu Last geschrieben.
     Die Auflistung der Kosten finden Sie im Anhang in der Datei: Rechnung.

     Alle unsere Rechnungen sind mit einem Sicherheitszertifikat versehen - der ist fuer Sie nicht von Bedeutung


     TESCHINKASSO Forderungsmanagement GmbH

     Geschaeftsfuehrer: Siegward Tesch
     Bielsteiner Str. 43 in 51674 Wiehl
     Telefon (0 22 62) 7 11-9
     Telefax (0 22 62) 7 11-806

     Ust-ID Nummer: 212 / 5758 / 0635

     Amtsgericht Koeln HRB 39598

添付ファイル
添付ファイルの名前は：
   • Rechnung.zip

添付ファイルはそのマルウェアのコピーを含むアーカイブです。

ファイルの詳細 ランタイム・パッカー
検出されにくくするため、またファイルのサイズを縮小するため、ランタイム・パッカーで圧縮してあります。

簡単な説明はココにあります。.

この説明は Thomas Wegele によって Fri, 24 Oct 2008 09:35 (GMT+1) 書き込まれました。
この説明は Philipp Wolf によって Fri, 24 Oct 2008 14:15 (GMT+1) 更新されました。

» マルウェアについて
» フィッシングについて
» In the Wild ウイルス

« 戻る