本サービスには一部、Googleの支援により翻訳されたコンテンツが含まれます。Googleは、明示または黙示を問わず、市場性、特定目的への適合性、ならびに非侵害の黙示的保証を含む、翻訳の精度、信頼性、正確性に関連するあらゆる点において保証しません。

Kaspersky Labの本Webサイトは、便宜上、Google Translateを搭載した翻訳ソフトウェアを利用して翻訳されています。正確な翻訳となるよう合理的な努力を払ってはおりますが、自動翻訳の正確性は完全ではなく、翻訳者(人間)による翻訳に代わるものとして意図されているものでもありません。翻訳はKaspersky Labの本Webサイトをご利用の皆様の利便性を図るためのものであり、「翻訳結果をそのまま」ご提供するものです。英語からその他言語への翻訳における精度、信頼性、正確性に関しては、明示または黙示を問わず、いかなる保証もなされません。翻訳ソフトウェアのため、コンテンツの一部(画像、動画、フラッシュ等)は正しく翻訳されない場合があります。

Email-Worm.Win32.PrettyPark

クラス Email-Worm
プラットフォーム Win32
説明

技術的な詳細

これはインターネットを介して広がるウイルスワームです。これは、電子メールに添付されたPrettyParkユーティリティとして表示されます。実行されると、システムに自身をインストールし、感染したメッセージ(添付ファイル付き)をWindowsアドレス帳に記載されているアドレスに送信し、IRCチャネル上でシステム設定とパスワードについてユーザに通知し、バックドアとしても使用できます。

ワーム自体は約37KbのWindows PE実行可能ファイルです。このファイルはWWPack32ユーティリティーによって圧縮されています。展開されていると、Delphiで書かれた58KbのEXEファイルであるように見えますが、ファイル内の「純粋な」コードは約45KBしか占めていません。ワームは、Delphiアプリケーションのためのこの短いサイズにもかかわらず、非常に危険で高速な展開プログラムになる多くの機能を備えています。

ワームが初めてシステムで実行されると、システムメモリに既にインストールされているそのコピーを探します。このワームは、#32770のウィンドウキャプションを持つアプリケーションを探すことによってこれを行います。そのようなウィンドウがない場合、ウィルスは隠れたアプリケーション(タスクリストには表示されません)として自身を登録し、インストールルーチンを実行します。

ワームは、システムにインストールする際に、そのファイルをFILES32.VXDファイル名でWindowsシステムディレクトリにコピーし、他のアプリケーションが起動するたびに実行されるようにシステムレジストリに登録します。ウイルスは、HKEY_CLASSES_ROOTに新しいキーを作成することで、キー名はexefileshellopencommandであり、Windowsシステムフォルダに作成されたFILES32.VXDファイルでワームコピーに関連付けられます。このファイルは拡張子が.VXDですが、VxD Win95 / 98ドライバではなく、むしろWindowsの実行可能ファイルです。

インストール中にエラーが発生した場合、ワームはSSPIPES.SCRスクリーンセーバーをアクティブにします(その活動を隠すために?)。そのようなファイルが見つからない場合、ワームはCanalisation3D.SCRスクリーンセーバーをアクティブにしようとします。

その後、ワームはソケット(インターネット)接続を開始し、起動されたルーチンを実行します。最初の起動は30秒に1回、もう1回は30分に1回実行されます。

これらのルーチンの1つ目は、起動するたびにIRCチャット(下記のリストを参照)チャネルに接続しようと試み、特別な要求によってこれらのチャネル上のユーザーにメッセージを送信します。このようにして、ワームの作者は影響を受けたステーションを捕まえてそれらを監視するようです。ワームが接続を試みるIRCサーバのリストは次のとおりです:


irc.twiny.net
irc.stealth.net
irc.grolier.net
irc.club-internet.fr
ircnet.irc.aol.com
irc.emn.fr
irc.anet.com
irc.insat.com
irc.ncal.verio.net
irc.cifnet.com
irc.skybel.net
irc.eurecom.fr
irc.easynet.co.uk

ホスト(ウイルス作成者)が認識しているため、このワームはバックドア型トロイの木馬として操作される可能性があります。一連のコマンドにより、システム構成、ディスクリスト、ディレクトリ情報、機密情報をリモートホストに送信します。インターネットアクセスのパスワードと電話番号、リモートアクセスサービスのログイン名とパスワード、ICQ番号などです。バックドアはディレクトリの作成/削除、ファイルの送受信、削除や実行も可能です。

30分に1回起動する2番目のルーチンは、Windowsアドレス帳ファイルを開き、そこからインターネットアドレスを読み取り、それらにメッセージを送信します。このメッセージは、アドレス帳の内容に応じて、プライベート電子メールアドレスに送信するだけでなく、インターネット会議に送信することもできます。メッセージの件名フィールドには次のテキストが含まれています。


C:CoolProgsPretty Park.exe

メッセージ自体には、ワームの添付されたコピーだけが含まれています。


オリジナルへのリンク