PE_VIRUX.AA-O
Virus.Win32.Virut.ce (Kaspersky); Backdoor:Win32/Lamin.A (Micosoft)
Windows 2000, XP, Server 2003
マルウェアタイプ:
ファイル感染型
破壊活動の有無:
なし
暗号化:
はい
感染報告の有無 :
はい
詳細
インストール
ウイルスは、以下のプロセスにコードを組み込みます。
- WINLOGON.EXE
他のシステム変更
ウイルスは、以下のレジストリ値を作成し、Windowsのファイアウォールを回避します。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\DomainProfile\AuthorizedApplications\
List
\??\%System%\winlogon.exe = \??\%System%\winlogon.exe:*:enabled:@shell32.dll,-1
ファイル感染
ウイルスは、以下の形式のファイルに感染します。
- .EXE
- .SCR
ウイルスは、ファイル名に以下の文字列を含むファイルには感染しません。
- OTSP
- WC32
- WCUN
- WINC
ウイルスは、以下のファイルには感染しません。
- .DLL files
- PE Files with "_win" section name
- Files with infection marker
HOSTSファイルの改変
ウイルスは、WindowsのHOSTSファイルに以下の文字列を追加します。
- 127.0.0.1 jL.{BLOCKED}.pl
その他
ウイルスは、UDPおよびTCPポート80番を用いて以下のIRCサーバのいずれかに接続します。
- irc.{BLOCKED}ef.pl
- proxim.{BLOCKED}axy.pl
ウイルスは、IRCサーバに接続する際、ニックネームにはランダムに作成された8文字を使用し、ユーザ名には、ランダムな1文字を使用します。接続されると、ウイルスは、特定のチャンネルに参加し、外部からのコマンドを待機します。コマンドを受信するとそれを実行します。
このウイルス情報公開日現在、、サーバは、以下のWebサイトから不正なファイルをダウンロードするようにコマンドを送信します。
- http://{BLOCKED}a.com/kb9.txt
ダウンロードされたファイルは、以下のように検出されます。
上記のファイルは、"Temp"フォルダに一時ファイルとして保存されます。
ウイルスは、ダウンロードしたファイルを実行します。
ウイルスは、以下のWebサイトにDNSリクエストを実行します。
- {BLOCKED}ns.pl
ウイルスは、以下のAPIをフックします。これによりAPIが呼び出しされる際に、不正なコードが実行されることになります。そしてファイル感染が行なわれます。
- NtCreateFile
- NtOpenFile
- NtCreateProcess
- NtCreateProcessEx
- NtQueryInformationProcess
ウイルスは、スクリプトファイルにもファイル感染を行ないます。この際、ウイルスは、感染対象のスクリプトファイルの拡張子が以下のいずれかであるかを最初に確認します。
- ASP
- HTM
- PHP
こうして感染対象のスクリプトファイルを発見すると、ウイルスは、それらのファイルに "iframe" の感染を行なうための目印を付けます。ウイルスは、目印が付けられたファイルを開き、中に特定の文字列があるかどうかをチェックします。特定の文字列があった場合、そのファイルへのファイル感染をスキップします。特定の文字列がない場合は、ファイル感染を行ないます。
ウイルスは、感染対象のスクリプトファイル内で "
