警告レベル: 低

検知日時：09.09.2010 16:02 GMT
登録日時：09.09.2010 22:21 GMT

Kaspersky Lab は、現在拡散している新種のメールワームを監視中です。ワームを拡散させるメールは、件名に "Here you have" と記載されています。

このワームは、Email-Worm.Win32.VBMania という名前で検知されます。

悪意あるファイルのダウンロード元であるサーバは現在活動を停止していますが、Kaspersky Lab はこのワームに関する情報を引き続き更新し、亜種からの感染を防止する手段を提供いたします。

概要

• バックグラウンドで行われるTrojan-Dropperによる悪意のあるプログラムのインストール
• Trojanが実行する悪意のあるプログラムに見られる典型的な活動
• ワームによる潜在的に危険な活動

技術情報

インストール

このワームが起動すると、自分自身の実行ファイルを以下の名前で次のディレクトリにコピーします：

• %Windir%\csrss.exe
• %Windir%\system\updates.exe

更に感染コンピュータ内に以下のファイルを作成します：

• %Windir%\tryme.iq
• %Windir%\ff.iq
• %Windir%\gc.iq
• %Windir%\ie.iq
• %Windir%\im.iq
• %Windir%\m.iq
• %Windir%\op.iq
• %Windir%\pspv.iq
• %Windir%\rd.iq
• %Windir%\rd.exe
• %Windir%\w.iq
• %Windir%\SendEmail.iq
• %Windir%\SendEmail.dll
• %Windir%\hst.iq
• %Windir%\re.iq
• %Windir%\re.exe
• %System%\SendEmail.dll
• %Windir%\b.bat

感染活動

以下のファイルを作成します:

• %Windir%\tryme1.exe
• %Windir%\ff.exe
• %Windir%\gc.exe
• %Windir%\ie.exe
• %Windir%\im.exe
• %Windir%\m.exe
• %Windir%\op.exe
• %Windir%\pspv.exe
• %Windir%\w.exe

以下のファイルを実行します:

• %Windir%\tryme1.exe
• %Windir%\ff.exe /stext %Windir%\ff.dlm
• %Windir%\gc.exe /stext %Windir%\gc.dlm
• %Windir%\ie.exe /stext %Windir%\ie.dlm
• %Windir%\im.exe /stext %Windir%\im.dlm
• %Windir%\m.exe /stext %Windir%\m.dlm
• %Windir%\op.exe /stext %Windir%\op.dlm
• %Windir%\pspv.exe /stext %Windir%\pspv.dlm
• %Windir%\w.exe /stext %Windir%\w.dlm

Windows システムファイルを変更または削除します:

• %System%\WBEM\Logs\wbemprox.log
• %System%\drivers\etc\hosts
  詳細:
  HOSTSファイル (%System%\drivers\etc\hosts)に自分自身のIPアドレスとホスト名のセットを追加して情報を改ざんします。特定のサーバに接続する際、OSは改ざんされたHOSTSファイルの情報に従い実際のサーバとは異なるIPアドレスに接続してしまいます。

下記の文字列マスクを使用して感染コンピュータ内のファイルを検索します：

• ff.exe.*
• gc.exe.*
• ie.exe.*
• im.exe.*
• op.exe.*
• pspv.exe.*
• rd.exe.*
• w.exe.*
• m.exe.*
• *.exe

その他の活動

以下のファイル（コマンド）を実行します:

• %Windir%\explorer.exe c:\
• %Windir%\csrss.exe

システムレジストリのキーを変更します:

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Products\9040110900063D11C8EF10054038389C\Usage ] "OUTLOOKFiles" = "0x3CD20008"

感染コンピュータ内にある以下のファイルを削除します:

• %Windir%\tryme.iq
• %Windir%\ff.iq
• %Windir%\gc.iq
• %Windir%\ie.iq
• %Windir%\im.iq
• %Windir%\m.iq
• %Windir%\m.exe
• %Windir%\op.iq
• %Windir%\pspv.iq
• %Windir%\rd.iq
• %Windir%\w.iq
• %Windir%\w.exe
• %Windir%\SendEmail.iq
• %Windir%\SendEmail.dll
• %Windir%\b.bat

※ %Windir%は、Windowsディレクトリ(通常はC:\Windows)を指します

※ %System%は、Windowsディレクトリ(通常はC:\Windows\System32)を指します

※ HKLMは、システムレジストリHKEY_LOCAL_MACHINEを指します