本サービスには一部、Googleの支援により翻訳されたコンテンツが含まれます。Googleは、明示または黙示を問わず、市場性、特定目的への適合性、ならびに非侵害の黙示的保証を含む、翻訳の精度、信頼性、正確性に関連するあらゆる点において保証しません。

Kaspersky Labの本Webサイトは、便宜上、Google Translateを搭載した翻訳ソフトウェアを利用して翻訳されています。正確な翻訳となるよう合理的な努力を払ってはおりますが、自動翻訳の正確性は完全ではなく、翻訳者(人間)による翻訳に代わるものとして意図されているものでもありません。翻訳はKaspersky Labの本Webサイトをご利用の皆様の利便性を図るためのものであり、「翻訳結果をそのまま」ご提供するものです。英語からその他言語への翻訳における精度、信頼性、正確性に関しては、明示または黙示を問わず、いかなる保証もなされません。翻訳ソフトウェアのため、コンテンツの一部(画像、動画、フラッシュ等)は正しく翻訳されない場合があります。

Email-Worm.Win32.Goner

クラス Email-Worm
プラットフォーム Win32
説明

技術的な詳細

これは、感染した電子メールに添付されたインターネット経由で拡散し、インターネットページャICQ経由で送信するウイルスワームです。トロイの木馬スクリプトを利用してIRCチャネルを攻撃し、アンチウイルスプログラムから自身を保護します。

ワーム自体は約38 KBの長さのWindows PE EXEファイルで、Visual Basicで記述されています。これはプログラムUPXによってパックされています。開梱後、サイズは148KBです。

感染したメッセージには以下が含まれます:

ユーザーが添付ファイルをクリックした場合にのみ、ワームは感染した電子メールから起動します。その後、システムに自身をインストールし、その普及ルーチンとペイロードを実行します。次のテキストを含むアニメーションウィンドウが表示されます。

次に、次のメッセージダイアログを表示します。

インストール

インストール中、ワームはWindowsシステムディレクトリに自分自身をGONE.SCRという名前でコピーし、このファイルをシステムレジストリの自動実行キーに登録します。

C:WINDOWSSYSTEMGONE.SCR = C:

この後、ワームはメインウィンドウを隠し、広がり続けます。

電子メールによる広がり

感染したメッセージを送信するために、ワームはMS Outlookを使用し、Outlookアドレス帳にあるすべてのアドレスにメッセージを送信します。

{Goner3.bmp}

ICQによる普及

ワームはICQクライアントを介して拡散します。ワームはC:PROGRAM FILESICQディ​​レクトリからWindowsシステムディレクトリにコピーするICQMAPI.DLLライブラリを使用します。それはクライアントプログラムにリターンし、リストと対話要求からダイアログウィンドウを探します。ウィンドウリストは次のとおりです。

オンラインファイルを送信する
オンラインファイルリクエストを送信する

ワームは定期的にウィンドウを探して閉じます。ウィンドウのタイトルは次のとおりです。

ユーザーがあなたのリクエストを拒否しました
ファイルリクエストを送信できません
オンラインファイルを送信する[ユーザーはN / Aモードである]
オンラインファイルを送信する[ユーザーがいない]
オンラインファイルを送信する[ユーザーは占有されています]
オンラインファイルを送信する[ユーザーはDNDモードになっています]
ユーザーがあなたのリクエストを拒否しました
ファイルリクエストを送信できません
オンラインファイル要求を送信する[ユーザーはN / Aモードである]
オンラインファイル要求を送信する[ユーザーがいない]
オンラインファイル要求を送信する[ユーザーは占有されています]
オンラインファイル要求を送信する[ユーザーはDNDモードになっています]

IRCチャネルを攻撃する

ワームはローカルディスクディレクトリをスキャンしてMIRC.INIファイルを作成し、このディレクトリに新しいファイルREMOTE32.INIを作成し、ファイルMIRC.INIに追加します。このスクリプトは定期的にランダムな名前のユーザをサーバtwisted.ma.us.dal.net上のIRCチャネル#pentagonexに参加させます。

アンチウィルスプログラムからの保護

ワームは、コンピュータシステムにインストールしている間、実行中のプロセスをスキャンし、次のリストから名前を確認します。

FINET.EXE
APLICA32.EXE
ZONEALARM.EXE
ESAFE.EXE
CFIADMIN.EXE
CFIAUDIT.EXE
CFINET32.EXE
PCFWallIcon.EXE
FRW.EXE
VSHWIN32.EXE
VSECOMR.EXE
WEBSCANX.EXE
AVCONSOL.EXE
VSSTAT.EXE
NAVAPW32.EXE
NAVW32.EXE
_AVP32.EXE
_AVPCC.EXE
_AVPM.EXE
AVP32.EXE
AVPCC.EXE
AVPM.EXE
AVP.EXE
LOCKDOWN2000.EXE
ICLOAD95.EXE
ICMON.EXE
ICSUPP95.EXE
ICLOADNT.EXE
ICSUPPNT.EXE
TDS2-98.EXE
TDS2-NT.EXE
SAFEWEB.EXE
C:サファイア

ワームはこのプロセスをメモリ内で終了し、ディスクからファイルを消去します。次に、サブディレクトリにあるファイルを使用して、プロセスディレクトリ内のすべてのファイルを消去します。ワームは、残りのファイルを探し、コンピュータの再起動後に削除を設定します。 WININIT.INIファイルに削除コマンドを追加します。


オリジナルへのリンク
お住まいの地域に広がる脅威の統計をご覧ください