TR/Drop.Xorer.C - Trojan

参照

概要

詳しい説明

統計

ウイルス	TR/Drop.Xorer.C
発見日：	26/02/2008
タイプ	トロイの木馬
感染報告有り	はい
感染報告	低
感染の可能性	低～中
ダメージ・ポテンシャル	中
スタティック・ファイル	いいえ
ファイル・サイズ	~90.000 バイト
IVDFファージョン：	7.00.02.190 - Tue, 26 Feb 2008 08:07 (GMT+1)

一般情報 感染方法
   • 割り当てられたネットワーク・ドライブ

別名
   • McAfee(マカフィー) W32/Xorer.c
   • Kaspersky(カスペルスキー) Virus.Win32.Xorer.dr
   • F-Secure(エフ・セキュア) Virus.Win32.Xorer.dr
   • Sophos(ソフォス) W32/Xorer-B
   • Grisoft Worm/AutoRun.AR
   • Eset Win32/Xorer.NAE
   • ビットディフェンダー(Bitdefender)： Win32.Xorer.DW

プラットフォーム/OS：
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • セキュリティ・アプリケーションを無効にします。
   • ファイルをダウンロードします。
   • 悪意ファイルを作成します。
   • セキュリティの設定を低くします。
   • レジストリの改変。

ファイルそれ自体を以下の場所にコピーします。
   • %SYSDIR%\%ランダムにいくつか選ばれた0から9までの数%.log
   • %SYSDIR%\com\lsass.exe
   • %ドライバ% \pagefile.pif

以下のファイルが作成されます：

– %ドライバ% \autorun.inf これは以下の内容を含む、悪意のないテキスト・ファイルです：
   •

– %SYSDIR%\com\smss.exe 作成が完了した後、起動されます。詳しい調査の結果、このファイルもマルウェアであることが判明しました。以下のように検出されました： W32/Xorer.DU

– %SYSDIR%\com\netcfg.000 詳しい調査の結果、このファイルもマルウェアであることが判明しました。以下のように検出されました： TR/Xorer.A.1

– %SYSDIR%\com\netcfg.dll 詳しい調査の結果、このファイルもマルウェアであることが判明しました。以下のように検出されました： TR/Xorer.A.1

– %SYSDIR%\dnsq.dll 詳しい調査の結果、このファイルもマルウェアであることが判明しました。以下のように検出されました： TR/Agent.32256.E.2

– %ドライバ% \NetApi000.sys 詳しい調査の結果、このファイルもマルウェアであることが判明しました。以下のように検出されました： RKIT/Xorer.A.2

ファイルをダウンロードしようとします：

– 場所は以下の通りです：
   • http://w.c0mo.com/**********
このファイルはさらなるダウンロード先を含むため、新たな危険の原因となる恐れがあります。

レジストリ以下のレジストリ・キーが、中に含まれるすべての値とサブキーと一緒に消されます。
   • [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • [HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}]
   • [HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}]

以下のレジストリ・キーは変更されます：

あらゆるExplorerの設定:
– [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
   新しい値
   • ShowSuperHidden = dword:00000000

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\
   Folder\SuperHidden]
   新しい値
   • Type = radio

挿入(Injection) – 以下のファイルをプロセスに挿入させます： %SYSDIR%\dnsq.dll

プロセス名：｜以下のすべて：
• %すべての起動中のプロセス%

その他インターネット接続環境を調べるため、以下のウェブサイトに接続しようとします：
• www.baidu.com

Mutex(ミューテック)
以下のMutex(ミューテック）を作成します：
• clsassexe

ファイルの詳細 プログラム言語:
このマルウェアプログラムはMS Visual C++で書かれています。

ランタイム・パッカー
検出されにくくするため、またファイルのサイズを縮小するため、以下のランタイム・パッカーで圧縮してあります。
• UPX

簡単な説明はココにあります。.

この説明は Andrei Gherman によって Mon, 16 Jun 2008 12:29 (GMT+1) 書き込まれました。
この説明は Andrei Gherman によって Thu, 19 Jun 2008 07:26 (GMT+1) 更新されました。

» About Malware
» About Phishing
» Viruses In the Wild

« back