本サービスには一部、Googleの支援により翻訳されたコンテンツが含まれます。Googleは、明示または黙示を問わず、市場性、特定目的への適合性、ならびに非侵害の黙示的保証を含む、翻訳の精度、信頼性、正確性に関連するあらゆる点において保証しません。

Kaspersky Labの本Webサイトは、便宜上、Google Translateを搭載した翻訳ソフトウェアを利用して翻訳されています。正確な翻訳となるよう合理的な努力を払ってはおりますが、自動翻訳の正確性は完全ではなく、翻訳者(人間)による翻訳に代わるものとして意図されているものでもありません。翻訳はKaspersky Labの本Webサイトをご利用の皆様の利便性を図るためのものであり、「翻訳結果をそのまま」ご提供するものです。英語からその他言語への翻訳における精度、信頼性、正確性に関しては、明示または黙示を問わず、いかなる保証もなされません。翻訳ソフトウェアのため、コンテンツの一部(画像、動画、フラッシュ等)は正しく翻訳されない場合があります。

Net-Worm.Win32.BlueCode

クラス Net-Worm
プラットフォーム Win32
説明

技術的な詳細

これはインターネットインフォメーションサーバ(ISS)に感染させてWebサイトを標的とするインターネットワームです。このワームは、EXEファイルを送信して実行することにより、あるWebサイトから別のWebサイトに広がるこの方法を実行します。

ワームのファイル名は一貫しています – SVCHOST.EXEとHTTPEXT.DLL。 EXEファイルは、長さが約29KのWin32アプリケーション(PE EXEファイル)で、Microsoft C ++で書かれています。圧縮された変種も発見されました。サイズは約14Kです。 DLLファイルのサイズは約47Kで、Microsoft C ++で書かれています。

ワームは標準のWin32 EXEファイル名を使用しています。 SVCHOST.EXEとHTTPEXT.DLLは、標準のWin2000インストールのSYSTEM32サブフォルダにあります。

ワームは、IISパッケージおよびWebサイトのコンテンツとともにインストールされたマシンのみを感染させます。ワームアプリケーションは、そのようなマシン上で実行されると、リモートWebサイト(インストールされたIISパッケージを備えたリモートマシン)を見つけて感染させます:Webディレクトリトラバーサルエクスプロイトを使用してそこにコピーを送り、そのコピーを生成します。その結果、現在感染しているマシンからアクセス可能なvlunerableなすべてのWebサーバーに感染し、他の感染したサーバーがワームのコピーをさらに拡散します。

ワームは、グローバル時間である午前10時から午前11時まで、http://www.nsfocus.com Webサーバー上でDoS攻撃(DoS攻撃)を実行するペイロードルーチンを持っています。

インストール

ワームは、C:ドライブ – C:SVCHOST.EXEとC:HTTPEXT.DLLのルートにそのコピー(EXEとDLL)を作成します。このEXEファイルは、レジストリの自動実行キーに登録されます。

HKLMSoftwareMicrosoftWindowsCurrentVersionRun
ドメインマネージャ= C:svchost.exe

ワームは、C:D.VBSスクリプトファイルを作成してスワップし、INETINFO.EXEアプリケーションを探し、アクティブであれば終了します。また、VBSスクリプトプログラムは、Indexing Service、Indexing Query、およびプリンタマッピングを検索し、それらを削除します。

その結果、ワームは、他のワームがWebセキュリティ保護を破るためにマシンやハッカーを感染させるために使用できる(または使用された)セキュリティ違反を無効にします。

広がる

さらに広がるために、このワームはランダムに選択されたIPアドレスをスキャンして攻撃する100のスレッドを実行します。

50%の場合、攻撃されたマシンは同じネットワーク上にあり、攻撃されたIPアドレスは "aa.bb。??。??"で、 "aa.bb"は感染したマシンのIPアドレスの一部です。 "??"ランダムです。

他の50%のケースでは、攻撃されたアドレスは非常にランダムです。

ワームは被害者のマシンを攻撃するために、Web Directory Traversalエクスプロイトを3回使用します。

  1. リモートマシン上のIISディレクトリを特定しようとしますが、
  2. 感染したコンピュータからウイルスのDLLコンポーネント(HTTPEXT.DLLファイル)をダウンロードする要求をリモートマシンに送信し、
  3. 最後の要求は、そのDLLファイルをC:ルートディレクトリにコピーすることです。

ワームはDLLファイルを被害者マシンにアップロードするために、 "tftp"コマンドを使用し、感染した(現在の)マシン上の一時的なTFTPサーバーをアクティブにして、被害者(リモート)マシンから "データ取得"コマンドを処理します。

DLLファイルが犠牲PCにアップロードされると、トリックで起動されます。そのため、ワームのコピーはリモートサーバー上で開始され、EXEコンポーネントが削除されて実行され、その後ウイルス作成プログラムが展開されます。


オリジナルへのリンク