| ■ |
Badtransウイルスには、aタイプとbタイプの2種類が存在します。 |
| |
|
〔aタイプの詳細〕
このメール大量送信型ウイルスは、Microsoft Outlookを使用して未開封の電子メールに返信することによって、自身を配信しようとします。また、このウイルスはリモートアクセスのトロイの木馬を落とし込みます。（定義ファイル4134を使用した場合、このトロイの木馬はBackdoor-NK.svrとして検出されます。ただし、DAT4134以前の定義ファイルでは、ヒューリスティック方式でNew
Backdoorとして検出されます）。
このウイルスが起動すると、"Install error"（インストール エラー）というタイトルのメッセージ
ボックスが現れ、"File data corrupt: probably due to
a bad data transmission or bad disk access."（ファイルデータの破損：データ転送またはディスクアクセスに失敗したと思われます）と表示されます。さらにウイルスのコピーがWINDOWSディレクトリにINETD.EXEとして保存され、起動時に
INETD.EXEが実行されるように、WIN.INIファイルにエントリーが挿入されます。KERN32.EXE（バックドアを開けるトロイの木馬）およびHKSDLL.DLL（キーボード打鍵記録DLL：PWS-AVとして検出されます）が、WINDOWS
SYSTEMのディレクトリに書き込まれ、システムの起動時にトロイの木馬が読み込まれるように、次のレジストリ
エントリが作成されます。
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersion
RunOncekernel32=kern32.exe
注：Win NT/2000では、エントリはWIN.INIではなくレジストリに書き込まれます。
HKEY_CURRENT_USERSoftwareMicrosoftWindows NT
CurrentVersionWindowsRUN=%WinDir%INETD.EXE
このトロイの木馬は、起動すると、感染システムのIPアドレス情報を作者に送ります。作者がこの情報を入手すると、インターネットを介して感染システムに接続し、ユーザ名やパスワードなどの個人情報を詐取する恐れがあります。また、このトロイの木馬には、キーロガープログラムが含まれており、これによってクレジット
カードや銀行口座などの番号やパスワードといった重要情報を取得されるおそれがあります。
次にWindowsが起動すると、このウイルスはMicrosoft Outlookフォルダにある未開封のメッセージ
に返信することによって、自身を配信しようとします。このウイルスは、以下のファイル名のいずれかを使用して、メッセージに添付されます。（これらのファイル名のなかには、W95/MTX.gen@Mなどの脅威と関連しているものがあります。）
Card.pif
docs.scr
fun.pif
hamster.ZIP.scr
Humor.TXT.pif
images.pif
New_Napster_Site.DOC.scr
news_doc.scr
Me_nude.AVI.pif
Pics.ZIP.scr
README.TXT.pif
s3msong.MP3.pif
searchURL.scr
SETUP.pif
Sorry_about_yesterday.DOC.pif
YOU_are_FAT!.TXT.pif
メッセージの本文には、以下の文字が含まれることがあります。
Take a look to the attachment.
〔bタイプの詳細〕
このメール大量送信型ウイルスは、Microsoft Outlookを使用して未読および既読の電子メールに返信することによって、自身を配信しようとします。また、感染したシステム上で発見された電子メールアドレスに自身を送信することもあります。このウイルスはKDLL.DLLであるシステムディレクトリにキーロギングのトロイの木馬を落とし込みます。（定義ファイル4173以降を使用した場合、このトロイの木馬はPWS-Ｈｏｏｋｅｒとして検出されます。）このトロイの木馬は、個人情報（クレジットカードや銀行口座番号、暗証番号）を盗むことを目的としてキーストロークに接続します。この情報はのちにウイルスの作者に電子メールで送られます。
起動すると、このウイルスはWINDOWS SYSTEMディレクトリにKERNEL32.EXEとして自身をコピーし、起動時に自身を実行するための次のようなレジストリキーを作成します。
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersion
RunOncekernel32=kernel32.exe
このウイルスは受信した電子メールメッセージに返事を出したり、"*.asp"
や "*.ht*"で見つかる電子メールアドレスに自身を送ったりします。ウイルスが自身を送信するときに使われる送信元のアドレスは次のリストのようなものです。
" Anna"
"JUDY"
"Rita Tulliani"
"Tina"
"Kelly Andersen"
"Andy"
"Linda"
"Mon S"
"Joanna"
"JESSICA BENAVIDES"
" Administrator"
" Admin"
"Support"
"Monika Prado"
"Mary L. Adams"
さらに、このウイルスは返信アドレスを "_"
(アンダーバー)を使ったものにかえることがあります。このため感染したメッセージに返信しても意図した相手に届かなくなります。
メッセージの件名は多くのばあい "Re:"です。
添付ファイル名は次のようなものです。
Card.DOC.pif
docs.DOC.pif
fun.MP3.pif
HAMSTER.DOC.pif
Humor.MP3.scr
images.DOC.pif
info.DOC.scr
Me_nude.MP3.scr
New_Napster_Site.MP3.pif
news_doc.DOC.scr
Pics.DOC.scr
README.MP3.scr
S3MSONG.DOC.scr
SEARCHURL.MP3.pif
SETUP.DOC.scr
Sorry_about_yesterday.MP3.pif
stuff.MP3.pif
YOU_are_FAT!.MP3.scr
またこの新しい亜種は修正プログラムを当てていないシステム上で、iフレームおよび「不適切なMIME
ヘッダーが原因でInternet Explorerが電子メールの添付ファイルを実行する」というセキュリティーホールを悪用します。 |
| |
| ■ |
感染の特徴 |
| |
|
・「%WinDir%INETD.EXE」というファイルが存在する。
・「%SysDir%KERN32.EXE」というファイルが存在する。
・「%SysDir%KERNEL32.EXE」というファイルが存在する。 |
