TR/PSW.Magania.avwf - Trojan

参照

概要

詳しい説明

統計

ウイルス	TR/PSW.Magania.avwf
発見日：	04/03/2009
タイプ	トロイの木馬
感染報告有り	はい
感染報告	低
感染の可能性	中
ダメージ・ポテンシャル	中～高
スタティック・ファイル	はい
ファイル・サイズ	108.412 バイト
MD5　チェックサム	518db8564203cc90b7a461d71c42dd09
IVDFファージョン：	7.01.02.119 - Wed, 04 Mar 2009 15:40 (GMT+1)

一般情報 感染方法
   • 割り当てられたネットワーク・ドライブ
   • メッセンジャー

別名
   • Symantec(シマンテック) Trojan.Dropper
   • Sophos(ソフォス) W32/AutoRun-AAT
   • Panda W32/Lineage.KPH
   • Grisoft PSW.OnlineGames.2.S
   • Eset Win32/PSW.OnLineGames.NMY

プラットフォーム/OS：
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • 悪意ファイルをダウンロードします。
   • 悪意ファイルを作成します。
   • セキュリティの設定を低くします。
   • レジストリの改変。

ファイルそれ自体を以下の場所にコピーします。
   • %SYSDIR%\ierdfgh.exe
   • %ドライバ% \9.exe

最初に実行したコピーの方を削除します。

以下のファイルを消去します。
   • %SYSDIR%\drivers\cdaudio.sys

以下のファイルを使えなくする可能性があります：
   • %SYSDIR%\drivers\cdaudio.sys

以下のファイルが作成されます：

– %ドライバ% \autorun.inf これは以下の内容を含む、悪意のないテキスト・ファイルです：
   •

– %SYSDIR%\pytdfse%番号% .dll 詳しい調査の結果、このファイルもマルウェアであることが判明しました。以下のように検出されました： TR/Autorun.845034

– %SYSDIR%\drivers\klif.sys 以下のように検出されました： TR/Klif.3520

– %ドライバ% \6fq.com
– %TEMPDIR%\4tddfwq0.dll
– %TEMPDIR%\xvassdf.exe

ファイルをダウンロードしようとします：

– 場所は以下の通りです：
   • http://vfbgt.com/xrbv/**********

– 場所は以下の通りです：
   • http://sfdght.com/xrbv/**********
ダウンロードが終了した後、起動されます。詳しい調査の結果、このファイルもマルウェアであることが判明しました。

レジストリ再起動後そのプロセスを実行するため、以下の値のうちの１つを追加します：

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "kxswsoft"="%SYSDIR%\ierdfgh.exe"

以下のレジストリ・キーは、再起動後にそのサービスを読み込むために追加されたものです：

– [HKLM\SYSTEM\CurrentControlSet\Services\AVPsys]
   • "Type"=dword:00000001
     "Start"=dword:00000003
     "ErrorControl"=dword:00000001
     "ImagePath"="\??\%SYSDIR%\drivers\klif.sys"
     "DisplayName"="AVPsys"

以下のレジストリ・キーの値が消えています：

以下のレジストリ・キーが、中に含まれるすべての値とサブキーと一緒に消されます。
   • [HKLM\SYSTEM\CurrentControlSet\Services\AVPsys]

以下のレジストリ・キーが追加されます：

– [HKLM\SYSTEM\CurrentControlSet\Services\AVPsys\Enum]
   • "Count"=dword:00000000
   • "NextInstance"=dword:00000000
   • "INITSTARTFAILED"=dword:00000001

– [HKLM\SYSTEM\CurrentControlSet\Services\AVPsys\Security]
   • "Security"=hex:01,00,14,80,90,00,00,00,9c,00,00,00,14,00,00,00,30,00,00,00,02,\
   • 00,1c,00,01,00,00,00,02,80,14,00,ff,01,0f,00,01,01,00,00,00,00,00,01,00,00,\
   • 00,00,02,00,60,00,04,00,00,00,00,00,14,00,fd,01,02,00,01,01,00,00,00,00,00,\
   • 05,12,00,00,00,00,00,18,00,ff,01,0f,00,01,02,00,00,00,00,00,05,20,00,00,00,\
   • 20,02,00,00,00,00,14,00,8d,01,02,00,01,01,00,00,00,00,00,05,0b,00,00,00,00,\
   • 00,18,00,fd,01,02,00,01,02,00,00,00,00,00,05,20,00,00,00,23,02,00,00,01,01,\
   • 00,00,00,00,00,05,12,00,00,00,01,01,00,00,00,00,00,05,12,00,00,00

以下のレジストリ・キーは変更されます：

– [HKLM\SOFTWARE\KasperskyLab\protected\AVP7\profiles\Updater]
   新しい値
   • "enabled"=dword:00000000

あらゆるExplorerの設定:
– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
   新しい値
   • "NoDriveTypeAutoRun"=dword:00000091

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\
   Folder\Hidden\SHOWALL]
   新しい値
   • "CheckedValue"=dword:00000001

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
   新しい値
   • "ShowSuperHidden"=dword:00000001
     "Hidden"=dword:00000002

メッセンジャーメッセンジャーを通して感染します。その特徴は以下の通りです：

– Yahooメッセンジャー

ファイル経由の伝播
以下の名前のファイルを送ります：
• YahooWidgetEngine.exe
• YPagerj.exe

挿入(Injection) – 以下のファイルをプロセスに挿入させます： %SYSDIR%\pytdfse%番号% .dll

– プロセスにプロセス監視ルーチンを挿入します。

    プロセス名：｜以下のうちの１つ：
   • explorer.exe

   マルウェアが試みに失敗すると、それはプロセスとして実行し続けます。

ルートキット・テクノロジー(Rootkit Technology) それはマルウェア特有のテクノロジーです。マルウェアはその存在を、システム・ユーティリティー、セキュリティー・アプリケーション、そしてユーザ自身からも隠します。

使用されているメソッド：
• ウインドウズAPIから隠されています：
• IDTから隠されています。

ファイルの詳細 プログラム言語:
このマルウェアプログラムはMS Visual C++で書かれています。

ランタイム・パッカー
検出されにくくするため、またファイルのサイズを縮小するため、ランタイム・パッカーで圧縮してあります。

簡単な説明はココにあります。.

この説明は Petre Galan によって Mon, 06 Jul 2009 12:36 (GMT+1) 書き込まれました。
この説明は Petre Galan によって Wed, 19 Aug 2009 07:15 (GMT+1) 更新されました。

» マルウェアについて
» フィッシングについて
» In the Wild ウイルス

« 戻る