親クラス: VirWare
ウイルスおよびワームは、コンピュータ上またはコンピュータネットワーク上で自己複製する悪意のあるプログラムであり、ユーザーは認識しません。そのような悪意のあるプログラムの後続のコピーも自己複製することができます。 「所有者」(例:Backdoors)または自己複製が不可能な複数のコピーを作成するプログラムによって、ネットワーク経由で感染したり、リモートマシンに感染したりする悪質なプログラムは、ウイルスおよびワームのサブクラスには含まれません。プログラムがViruses and Wormsサブクラス内の別個の動作として分類されるかどうかを判断するために使用される主要な特性は、プログラムがどのように伝搬するか(すなわち、悪意のあるプログラムがローカルまたはネットワークリソースを介してどのように自身のコピーを広げるか)電子メール添付ファイルとして送信されたファイルとして、WebまたはFTPリソースへのリンク経由で、ICQまたはIRCメッセージで送信されたリンク経由で、P2Pファイル共有ネットワークなどを介して送信されます。これらは直接コンピュータのメモリに侵入し、ワームコードが有効になります。ワームは、リモートコンピュータに侵入して自身のコピーを開始するために、ソーシャルエンジニアリング(例えば、ユーザーが添付ファイルを開くことを示唆する電子メールメッセージ)、ネットワーク構成エラー(完全にアクセス可能なディスクへのコピーなど)を利用し、オペレーティングシステムとアプリケーションのセキュリティの抜け穴ウイルスは、コンピュータを感染させる方法に従って分割することができます。ファイルウイルス - ブートセクタウイルス - マクロウイルススクリプトウイルス - このサブクラス内のプログラムは、追加のトロイの木馬機能を持つことができます。また、ネットワークを介してコピーを広めるために、多くのワームが複数の方法を使用していることにも注意してください。これらのタイプのワームを分類するには、検出されたオブジェクトを複数の機能で分類するためのルールを使用する必要があります。クラス: Net-Worm
ネットワームはコンピュータネットワークを介して伝播します。この種のワームの特徴は、普及するためにユーザーの操作を必要としないことです。この種のワームは、通常、ネットワーク上のコンピュータ上で動作するソフトウェアの重大な脆弱性を検索します。ネットワーク上のコンピュータを感染させるために、ワームは特別に細工されたネットワークパケット(悪用と呼ばれます)を送信し、その結果ワームコード(またはワームコードの一部)が被害者のコンピュータに侵入して起動します。ネットワークパケットには、メインワームモジュールを含むファイルをダウンロードして実行するワームコードの部分しか含まれていないことがあります。一部のネットワークワームは、複数の攻撃を同時に使用して感染するため、犠牲者を見つける速度が向上します。プラットフォーム: Win32
Win32は、32ビットアプリケーションの実行をサポートするWindows NTベースのオペレーティングシステム(Windows XP、Windows 7など)上のAPIです。世界で最も広く普及しているプログラミングプラットフォームの1つです。説明
技術的な詳細
Randonは、共有リソースを持つIRCチャネルとLAN経由で配布されるウイルスワームです。このワームは、実行されると、そのコンポーネントをWindowsシステムディレクトリのサブディレクトリzxzおよび/またはzxにインストールし、そのメインファイルとmIRCクライアントをWindowsレジストリの自動実行キー(下記)に登録します。
HKLM SoftwareMicrosoftWindowsCurrentVersionRunupdateWins
Randonは上記のキーを実行し、 HideWIndowsユーティリティを使用してプロセスを非表示にします。 RandonはIRCサーバに接続し、そのスクリプトを実行します。 DDoS攻撃とIRCチャネルの氾濫に加えて、Randonは他のIRCクライアントのポート445をスキャンします。
分布
オープンポート(445)を検出すると、ワームはバッチファイルsencs.batとincs.batを実行し、リモートコンピュータ上で開いているリソースを探し、次のいずれかのパスワードを使用して接続します。
"admin"、 "administrator"、 "root"、 "admin"、 "test"、 "test123"、 "temp" "temp123"、 "pass"、 "password"、 "changeme"接続が成功すると、ワームはポート445でソケットを開き、トロイの木馬TrojanDownloader.WIn32.APher.genを転送して実行します。このトロイの木馬は、 "www.q8kiss.net"からワームのフルバージョンの自己解凍形式のアーカイブをダウンロードし、システムにインストールします。
追加情報
Randonワームは、以下のコンポーネントで構成されています。
Deta.exe - HideWindowsユーティリティ(WIn32 exeファイル)
fControl.a - IRCスクリプト(ポートスキャンと感染リモートコンピュータ)
IfCOntrol.a - IRCスクリプト(IRCチャネルのフラッディングとDDoS攻撃(異なるアドレスへのping))
incs.bat - バッチファイル(lan resources password cracker)
Libparse.exeは "PrcView"ユーティリティ(Win32 EXEファイル)です。
psexec.exeは "PsExec"ユーティリティ(Win32 EXEファイル)です。
rcfg.ini - IRC INIファイル(他のスクリプトをロード中)
rconnect.conf - 設定ファイル
reader.w - ワームがIRCチャネルとの接続を確立するために使用するニックネームのリスト
Sa.exe - TrojanDOwnloader.Win32.Apher
scontrol.a - ヘルパーIRCスクリプト。
sencs.bat - BATファイル(このファイルはTrojanDownloaderの実行を実行するためにリモートコンピュータに転送されます)
systrey.exe - mIRCクライアント(Wind32 EXEファイル)の名前が変更されました。
も参照してください
お住まいの地域に広がる脆弱性の統計をご覧ください statistics.securelist.com
この脆弱性についての記述に不正確な点がありますか? お知らせください!