Trojan-DDoS.Win32.Kozog

技術的な詳細

これは、2000年11月にハッカー（またはハッカーグループ）によって配布されたWin32 DDoS（Distributed Denial of Service攻撃）トロイの木馬です。このトロイの木馬は添付ファイル付きの電子メールメッセージとして送信されました。

メッセージのテキストとヘッダーは次のようになります。

————————————————– ——

出身：World Travel Agency Ltd. [office4@worldtravel.com]
送信：2000年11月21日午後5:31]
To：すべての観光客と休暇主義者]
件名：New Milleniumを祝う！]

ワールドトラベルエージェンシー株式会社
359 BTCドライブ
PO Box 134108
シアトル、WA 98108-23
アメリカ合衆国

拝啓/マダム

新しいミレニアムを祝う！パラダイスを発見！

私たちは今までに見たことのないニュー・ミレニアムのお祝いに最も魅力的なパッケージを提供しています。
純粋な自然、近代的な建築とハイテク技術が融合し、完璧なリゾートを作り出しています。
合理的な保証、正確さ、質の高いサービス。
私たちのオファーを見るには、下のzipファイルをクリックしてください！
あなたの隣人を羨望させる！

宜しくお願いします、

————————————————– ——

添付ファイルはZIPアーカイブとして表示される予定ですが、次の名前のWindows EXEファイルです。

"OFFER2001.ZIP [多くのスペース] .EXE"

これは、コンピュータが実行されている場合に影響を与えるトロイの木馬 "インストーラ"です。 "スペース"トリックのために、それは多くの場合に.ZIPファイルとして表示され、ユーザーにそれを開くことを欺く可能性があります。

インストール

EXEファイル（トロイの木馬インストーラ）を実行すると、実行可能ファイルがさらに2つ抽出され、Windowsシステムディレクタに次の名前でコピーされます。

MRE.DLL
SOUNDV.EXE

Win9xおよびWinNTでは、これらのファイルはさまざまな方法で自動実行セクションに登録されます。WinNTでは、システムレジストリにSOUNDV.EXEファイルが登録されます。

SOFTWAREMicrosoftWindowsCurrentVersionRun soundv.exe

Win9xでは、DLLファイルはSYSTEM.INIファイルの次の[boot]セクションに登録されています。

drivers = mre.dll

トロイの木馬は、次の偽のエラーメッセージを表示します。

エラー
要求されたDLLが存在しません。

（文法の誤りは、トロイの木馬のコードのままです）。

SOUNDV.EXEはDoSトロイの木馬です。 MRE.DLLは、実行するたびにSOUNDV.EXEを実行する小さなプログラムです。その結果、Win9xとWinNTの両方で、SOUNDV.EXEコンポーネントがアクティブになります。

DoS攻撃

このファイルが実行されると（次のWindows再起動時に）、隠れたアプリケーション（サービス）としてアクティブな状態になり、インターネット設定で自動ダイヤルオプションが有効になり、サーバー "DoS攻撃を実行します。" kozirog.n​​etissat 。ネット"。