• Email
• Facebook
• Twitter
• Google+
• Linkedin

WORM_FANBOT.A

---

• マルウェアタイプ: ワーム
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、Windows のアドレス帳（WABファイル）から特定のＥメールアドレスを収集します。 ワームは、ソフトウェアに存在する脆弱性を利用して、ネットワーク上で感染活動をします。

ワームは、IRCサーバに接続します。 ワームは、ランダムにポートを開き、不正リモートユーザが感染コンピュータに接続できるようにします。接続されると、不正リモートユーザは、感染コンピュータ上でのコマンド実行が可能となります。 ワームは、不正リモートユーザからリモートで受信する特定のコマンドを実行します。これにより、感染コンピュータおよび同コンピュータ上の情報は危険にさらされることとなります。

ワームは、ユーザが特定のWebサイトにアクセスできないように、感染コンピュータのHOSTSファイルを改変します。

---

  詳細

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\remote.exe

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

自動実行方法

ワームは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\RpcRemotes
DisplayName = "Remote Procedure Call (RPC) Remote"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\RpcRemotes
ImagePath = "%System%\remote.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\RpcRemotes
DisplayName = "Remote Procedure Call (RPC) Remote"

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
WinShell = "%System%\remote.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\RunServices
WinShell = "%System%\remote.exe"

他のシステム変更

ワームは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Setup
Ph4nt0m = "Ph4nt0m"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\DomainProfile\AuthorizedApplications\
List
%System%\remote.exe = '%System%\remote.exe:*:Disabled:Generic Host Process for Win32 Services"

ワームは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess
Start = "4"

(註：変更前の上記レジストリ値は、「2」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wuauserv
Start = "4"

(註：変更前の上記レジストリ値は、「2」となります。)

感染活動

ワームは、ピアツーピア（P2P）ネットワーク上で使用される以下のフォルダ内に自身のコピーを作成します。

• DONKEY
• DOWNLOAD
• HTDOCS
• INCOMING
• KAZAA
• MORPHEUS
• SHARE
• SHARING
• UPLOAD

ワームは、以下のレジストリ値を確認し、利用可能なSMTPサーバを検索します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts

ワームは、WABから特定のＥメールアドレスを収集します。

ワームは、以下の文字列を含むＥメールアドレスにはメッセージを送信しません。

• anyone
• contact
• feste
• gold-certs
• nobody
• noone
• nothing
• postmaster
• privacy
• rating
• samples
• service
• somebody
• someone
• submit
• the.bat
• webmaster

ワームは、以下のソフトウェアに存在する脆弱性を利用して、ネットワーク上で感染活動をします。

• (MS05-039) Vulnerability in Plug and Play Could Allow Remote Code Execution and Elevation of Privilege (899588)

バックドア活動

ワームは、以下のいずれかのIRCサーバに接続します。

• {BLOCKED}rl.3322.org

ワームは、ランダムにポートを開き、不正リモートユーザが感染コンピュータ上にアクセスするのを可能にします。接続されると、不正リモートユーザは、感染コンピュータ上でコマンドを実行します。

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• Download or execute files
• Get system information
• Remove or update worm copy
• Start or terminate mass-mailing routine

プロセスの終了

ワームは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• A2HIJACKFREE.EXE
• ADAM.EXE
• AGTX0404.EXE
• AGTX0411.EXE
• AGTX0804.EXE
• ALERTAST.EXE
• ALESCAN.EXE
• ALEUPDAT.EXE
• ALUNOTIFY.EXE
• ANTIVIRUS_UPDATE.EXE
• APORTS.EXE
• AUPDATE.EXE
• BACKRAV.EXE
• BLACKD.EXE
• BLACKICE.EXE
• BOTZOR.EXE
• BRONSTAB.EXE
• CCEMFLSV.EXE
• CCENTER.EXE
• CFGWIZ.EXE
• CLEANUP.EXE
• CMDAGENT.EXE
• COOLBOT.EXE
• CSM.EXE
• CSSCAN.EXE
• CVT.EXE
• DEFWATCH.EXE
• DWHWIZRD.EXE
• EGHOST.EXE
• EKSPLORASI.PIF
• FINT2005.EXE
• FRAMEWORKSERVICE.EXE
• FRMINST.EXE
• HELLMSN.SCR
• HIJACKTHIS.EXE
• HNETWIZ.EXE
• HPMANAGER.EXE
• IAMSTATS.EXE
• ICESWORD.EXE
• IDTEMPLATE.EXE
• INBUILD.EXE
• IPARMOR.EXE
• ISSVC.EXE
• JAVA.EXE
• KATMAIN.EXE
• KAV.EXE
• KAV32.EXE
• KAVDX.EXE
• KAVLOG2.EXE
• KAVPFW.EXE
• KAVPFW.EXE
• KAVSEND.EXE
• KAVSTART.EXE
• KAVSTART.EXE
• KAVSVC.EXE
• KILLBOX.EXE
• KMAILMON.EXE
• KNLPS.EXE
• KNLSC13.EXE
• KPFWSVC.EXE
• KRECYCLE.EXE
• KREGEX.EXE
• KSHRMGR.EXE
• KVCENTER.KXP
• KVDETECH.EXE
• KVDETECT.EXE
• KVDISK.KXP
• KVDOS.EXE
• KVMONXP.KXP
• KVOL.EXE
• KVOLSELF.EXE
• KVREPORT.KXP
• KVSCAN.KXP
• KVSRVXP.EXE
• KVSTORY.KXP
• KVSTUB.KXP
• KVUPLOAD.EXE
• KVWSC.EXE
• KVXP.KXP
• KWATCH.EXE
• KWATCH9X.EXE
• LANGSET.EXE
• LDVPREG.EXE
• LOGPARSER.EXE
• LRSEND.EXE
• LSETUP.EXE
• LUALL.EXE
• LUAWRAP.EXE
• LUCOMSERVER.EXE
• LUINIT.EXE
• MAKEBOOT.EXE
• MCAFFEAV.EXE
• MCCONSOL.EXE
• MCSCRIPT.EXE
• MCSCRIPT_INUSE.EXE
• MCUPDATE.EXE
• MDAC.EXE
• MOUSEBM.EXE
• MOUSEMM.EXE
• MOUSESYNC.EXE
• MSAGENT.EXE
• MSNMSGS.EXE
• MSTASK.EXE
• NAPRDMGR.EXE
• NAVUSTUB.EXE
• NDETECT.EXE
• NVCHIP4.EXE
• PATCH.EXE
• PCCBROWS.EXE
• PCCGUIDE.EXE
• PCCLIENT.EXE
• PCCLOG.EXE
• PCCMAIN.EXE
• PCCMDCOM.EXE
• PCCSPYUI.EXE
• PCCTLCOM.EXE
• PCCTOOL.EXE
• PCCVSCAN.EXE
• PER.EXE
• PFW.EXE
• PHANTOM.EXE
• PICX.EXE
• PIREG.EXE
• PM.EXE
• PROCESSEXPLORER.EXE
• RAV.EXE
• RAVDOS.EXE
• RAVHDBAK.EXE
• RAVMON.EXE
• RAVMOND.EXE
• RAVPATCH.EXE
• RAVSTORE.EXE
• RAVSTUB.EXE
• RAVTIMER.EXE
• RAVXP.EXE
• REALSCHED.EXE
• REGCLEAN.EXE
• REGGUIDE.EXE
• REGSVR32.EXE
• RESCUE.EXE
• RFW.EXE
• RFWMAIN.EXE
• RFWSRV.EXE
• RKDETECTOR.EXE
• ROOTKITREVEALER.EXE
• RSAGENT.EXE
• RSCONFIG.EXE
• RSSMS.EXE
• RTVSCAN.EXE
• RUNDLL32.EXE
• SAVROAM.EXE
• SCAN32.EXE
• SCANBD.EXE
• SCNCFG32.EXE
• SCRIGZ.EXE
• SERVCE.EXE
• SETUPWIZ.EXE
• SHCFG32.EXE
• SHSTAT.EXE
• SMARTDRV.EXE
• SMARTUP.EXE
• SMSS.EXE
• SOUNDMAN.EXE
• SYMANTECROOTINSTALLER.EXE
• SYMCLNUP.EXE
• SYSTEM.EXE
• TASKGMR.EXE
• TMNTSRV.EXE
• TMOAGENT.EXE
• TMPFW.EXE
• TMPROXY.EXE
• TRA.EXE
• TRIALMSG.EXE
• TROJANDETECTOR.EXE
• TROJANWALL.EXE
• TROJDIE.KXP
• TSC.EXE
• UNINSTALL.KXP
• UPDATE.EXE
• UPDATERUI.EXE
• UPGRADE.EXE
• VIRUSBOX.KXP
• VPC32.EXE
• VPDN_LU.EXE
• VPTRAY.EXE
• VSTSKMGR.EXE
• WINHOST.EXE
• WINLDR.EXE
• WINTBP.EXE
• WPA.EXE
• WRITECAN.EXE
• ZONEALARM.EXE

HOSTSファイルの改変

ワームは、ユーザが以下のWebサイトにアクセスできないように、感染コンピュータのHOSTSファイルを改変します。

• avp.com
• ca.com
• customer.symantec.com
• db.kingsoft.com
• dispatch.mcafee.com
• download.mcafee.com
• f-secure.com
• iduba.net
• jiangmin.com
• kaspersky-labs.com
• kaspersky.com
• kaspersky.com.cn
• kingsoft.com
• liveupdate.symantec.com
• liveupdate.symantecliveupdate.com
• mast.mcafee.com
• mcafee.com
• microsoft.com
• my-etrust.com
• nai.com
• networkassociates.com
• online.rising.com.cn
• pandasoftware.com
• rads.mcafee.com
• rising.com.cn
• scan.kingsoft.com
• secure.nai.com
• securityresponse.symantec.com
• sophos.com
• symantec.com
• symantec.com.cn
• trendmicro.com
• update.symantec.com
• Update2.JiangMin.com
• Update3.JiangMin.com
• updates.symantec.com
• us.mcafee.com
• viruslist.com
• virustotal.com
• www.avp.com
• www.ca.com
• www.f-secure.com
• www.grisoft.com
• www.iduba.net
• www.jiangmin.com
• www.kaspersky.com
• www.kaspersky.com.cn
• www.mcafee.com
• www.microsoft.com
• www.my-etrust.com
• www.nai.com
• www.networkassociates.com
• www.pandaguard.com
• www.pandasoftware.com
• www.rising.com.cn
• www.sophos.com
• www.symantec.com
• www.symantec.com.cn
• www.trendmicro.com
• www.viruslist.com
• www.virustotal.com

ワームは、WindowsのHOSTSファイルに以下の文字列を追加します。

• Play with the best, Die like the rest.
  
• [Phantom] 2005 made by Evil[xiaou]. Special Thanks:x140d4n.
  
• If u have Zotob's SourceCode, please u mail it to me!!!
  
• E-mail:x140yu@Gmail.Com thanks!!!

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください