Worm/Conficker - Worm

参照

概要

詳しい説明

統計

ウイルス	Worm/Conficker
発見日：	14/01/2009
タイプ	ワーム
感染報告有り	はい
感染報告	中
感染の可能性	中
ダメージ・ポテンシャル	中
スタティック・ファイル	いいえ
IVDFファージョン：	7.01.01.115 - Wed, 14 Jan 2009 08:44 (GMT+1)

一般情報 感染方法
   • ローカル・ネットワーク
   • 割り当てられたネットワーク・ドライブ
   • P2P(ピアツーピア)

別名
   • Symantec(シマンテック) W32.Downadup.B
   • Kaspersky(カスペルスキー) Net-Worm.Win32.Kido.fw
   • F-Secure(エフ・セキュア) Worm:W32/Downadup.gen!A
   • Sophos(ソフォス) Mal/Conficker-A
   • Panda Trj/Downloader.MDW
   • Grisoft I-Worm/Generic.CJY
   • Eset a variant of Win32/Conficker.AE worm
   • ビットディフェンダー(Bitdefender)： Win32.Worm.Downadup.Gen

同じような検出:
   • Worm/Kido

プラットフォーム/OS：
   • ウインドウズ 95
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • 悪意ファイルをダウンロードします。
   • 悪意ファイルを作成します。
   • レジストリの改変。
   • ソフトの脆弱性を利用します。
   • サード・パーティ・コントロール

ファイルそれ自体を以下の場所にコピーします。
   • %すべての共有フォルダ% \RECYCLER\S-%番号% \%ランダムな文字列%.vmx
   • %ProgramFiles%\Internet Explorer\%ランダムな文字列%.dll
   • %ProgramFiles%\Movie Maker\%ランダムな文字列%.dll
   • %SYSDIR%\%ランダムな文字列%.dll
   • %TEMPDIR%\%ランダムな文字列%.dll
   • %ALLUSERSPROFILE%\Application Data\%ランダムな文字列%.dll

以下のファイルが作成されます：

– %すべての共有フォルダ%\autorun.inf これは以下の内容を含む、悪意のないテキスト・ファイルです：
   • %random comments%
     shellexecute rundll32.exe %マルウェアのコピーのパス及びファイルの名前%,%ランダムな文字列%
     %random comments%

– %SYSDIR%\%2桁のランダムな文字列%.TMP 詳しい調査の結果、このファイルもマルウェアであることが判明しました。以下のように検出されました： TR/Rootkit.Gen

レジストリ以下のレジストリ・キーは、再起動後にそのサービスを読み込むために追加されたものです：

– HKLM\SYSTEM\CurrentControlSet\Services\
   %rランダムな言葉%\Parameters\
   • ServiceDll" = "%マルウェアのコピーのパス及びファイルの名前%"

– HKLM\SYSTEM\CurrentControlSet\Services\
   %rランダムな言葉%\
   • "ImagePath" = %SystemRoot%\system32\svchost.exe -k netsvcs
     "Type" = "4"
     "Start" = "4"
     "ErrorControl" = "4"

以下のレジストリ・キーは変更されます：

– [HKLM\SYSTEM\CurrentControlSet\Services\wscsvc]
   前の値
   • "Start"=dword:00000003
   新しい値
   • "Start"=dword:00000004

– [HKLM\SYSTEM\CurrentControlSet\Services\wuauserv]
   前の値
   • "Start"=dword:00000003
   新しい値
   • "Start"=dword:00000004

– [HKLM\SYSTEM\CurrentControlSet\Services\BITS]
   前の値
   • "Start"=dword:00000003
   新しい値
   • "Start"=dword:00000004

– [HKLM\SYSTEM\CurrentControlSet\Services\ERSvc]
   前の値
   • "Start"=dword:00000003
   新しい値
   • "Start"=dword:00000004

– HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
   新しい値
   • "Hidden"=dword:00000002
     "ShowCompColor"=dword:00000001
     "HideFileExt"=dword:00000000
     "DontPrettyPath"=dword:00000000
     "ShowInfoTip"=dword:00000001
     "HideIcons"=dword:00000000
     "MapNetDrvBtn"=dword:00000000
     "WebView"=dword:00000000
     "Filter"=dword:00000000
     "SuperHidden"=dword:00000000
     "SeparateProcess"=dword:00000000

ネットワーク感染感染を確かなものにするために、マルウェアは以下のように他のマシンに接続しようとします。

リモート・マシンへのアクセスを得るために、以下のログイン情報を使用します：

– 以下のパスワード：
   • 000; 0000; 00000; 0000000; 00000000; 0987654321; 111; 1111; 11111;
      111111; 1111111; 11111111; 123; 123123; 12321; 123321; 1234; 12345;
      123456; 1234567; 12345678; 123456789; 1234567890; 1234abcd; 1234qwer;
      123abc; 123asd; 123qwe; 1q2w3e; 222; 2222; 22222; 222222; 2222222;
      22222222; 321; 333; 3333; 33333; 333333; 3333333; 33333333; 4321; 444;
      4444; 44444; 444444; 4444444; 44444444; 54321; 555; 5555; 55555;
      555555; 5555555; 55555555; 654321; 666; 6666; 66666; 666666; 6666666;
      66666666; 7654321; 777; 7777; 77777; 777777; 7777777; 77777777;
      87654321; 888; 8888; 88888; 888888; 8888888; 88888888; 987654321; 999;
      9999; 99999; 999999; 9999999; 99999999; a1b2c3; aaa; aaaa; aaaaa;
      abc123; academia; access; account; Admin; admin; admin1; admin12;
      admin123; adminadmin; administrator; anything; asddsa; asdfgh; asdsa;
      asdzxc; backup; boss123; business; campus; changeme; cluster;
      codename; codeword; coffee; computer; controller; cookie; customer;
      database; default; desktop; domain; example; exchange; explorer; file;
      files; foo; foobar; foofoo; forever; freedom; fuck; games; home;
      home123; ihavenopass; Internet; internet; intranet; job; killer;
      letitbe; letmein; login; Login; lotus; love123; manager; market;
      money; monitor; mypass; mypassword; mypc123; nimda; nobody; nopass;
      nopassword; nothing; office; oracle; owner; pass; pass1; pass12;
      pass123; passwd; password; Password; password1; password12;
      password123; private; public; pw123; q1w2e3; qazwsx; qazwsxedc; qqq;
      qqqq; qqqqq; qwe123; qweasd; qweasdzxc; qweewq; qwerty; qwewq; root;
      root123; rootroot; sample; secret; secure; security; server; shadow;
      share; sql; student; super; superuser; supervisor; system; temp;
      temp123; temporary; temptemp; test; test123; testtest; unknown; web;
      windows; work; work123; xxx; xxxx; xxxxx; zxccxz; zxcvb; zxcvbn;
      zxcxz; zzz; zzzz; zzzzz

IPアドレス作成
ランダムなIPアドレスを作りますが、その最初の3つの8ビットは同じままです。その後それらと接続しようとします。

感染プロセス
それは、感染した元のコンピュータから侵入先のコンピュータにマルウェアをダウンロードするよう命令を出します。
ダウンロードしたファイルは、侵入先のマシンに以下の名前で保存されます： .\RECYCLER\S-%番号% \%ランダムな文字列%.vmx

ホスト – 以下のドメインへのアクセスは効果的に無効にされています。
   • ahnlab; arcabit; avast; avg.; avira; avp.; bit9.; ca.; castlecops;
      centralcommand; cert.; clamav; comodo; computerassociates; cpsecure;
      defender; drweb; emsisoft; esafe; eset; etrust; ewido; f-prot;
      f-secure; fortinet; gdata; grisoft; hacksoft; hauri; ikarus; jotti;
      k7computing; kaspersky; malware; mcafee; microsoft; nai.;
      networkassociates; nod32; norman; norton; panda; pctools; prevx;
      quickheal; rising; rootkit; sans.; securecomputing; sophos; spamhaus;
      spyware; sunbelt; symantec; threatexpert; trendmicro; vet.; virus;
      wilderssecurity; windowsupdate

その他 インターネット接続
インターネット接続をチェックするため、以下のDNSサーバにつなぎます：
   • http://www.getmyip.org
   • http://www.whatsmyipaddress.com
   • http://getmyip.co.uk
   • http://checkip.dyndns.org

インターネット接続環境を調べるため、以下のウェブサイトに接続しようとします：
   • baidu.com; google.com; yahoo.com; msn.com; ask.com; w3.org; aol.com;
      cnn.com; ebay.com; msn.com; myspace.com

ファイルの部分置換
接続の最大数を多くするため、tcpip.sysを改変する能力があります。そのファイルが壊れネットワーク接続を終了する可能性があります。

ルートキット・テクノロジー(Rootkit Technology) それはマルウェア特有のテクノロジーです。マルウェアはその存在を、システム・ユーティリティー、セキュリティー・アプリケーション、そしてユーザ自身からも隠します。

使用されているメソッド：

以下のAPI機能にホック（ＨＯＯＫ）します:
   • DNS_Query_A
   • DNS_Query_UTF8
   • DNS_Query_W
   • Query_Main
   • sendto

ファイルの詳細 プログラム言語:
このマルウェアプログラムはMS Visual C++で書かれています。

ランタイム・パッカー
検出されにくくするため、またファイルのサイズを縮小するため、ランタイム・パッカーで圧縮してあります。

簡単な説明はココにあります。.

この説明は Alexander Neth によって Fri, 16 Jan 2009 06:55 (GMT+1) 書き込まれました。
この説明は Alexander Neth によって Fri, 17 Jul 2009 09:36 (GMT+1) 更新されました。

» マルウェアについて
» フィッシングについて
» In the Wild ウイルス

« 戻る