本サービスには一部、Googleの支援により翻訳されたコンテンツが含まれます。Googleは、明示または黙示を問わず、市場性、特定目的への適合性、ならびに非侵害の黙示的保証を含む、翻訳の精度、信頼性、正確性に関連するあらゆる点において保証しません。

Kaspersky Labの本Webサイトは、便宜上、Google Translateを搭載した翻訳ソフトウェアを利用して翻訳されています。正確な翻訳となるよう合理的な努力を払ってはおりますが、自動翻訳の正確性は完全ではなく、翻訳者(人間)による翻訳に代わるものとして意図されているものでもありません。翻訳はKaspersky Labの本Webサイトをご利用の皆様の利便性を図るためのものであり、「翻訳結果をそのまま」ご提供するものです。英語からその他言語への翻訳における精度、信頼性、正確性に関しては、明示または黙示を問わず、いかなる保証もなされません。翻訳ソフトウェアのため、コンテンツの一部(画像、動画、フラッシュ等)は正しく翻訳されない場合があります。

Virus.MSAccess.SuperSonic

クラス Virus
プラットフォーム MSAccess
説明

技術的な詳細

これは、Win32マシンに感染し、電子メールメッセージを添付のEXEファイルとして広める、マルチコンポーネントインターネットワームです。ワームはいくつかのコンポーネントを持ち、インターネットWebサイトから自身を "アップグレード"することができます。

主なワームコンポーネントには、LoaderとMainコンポーネントの2つがあります。

Loaderは、サイズが約25KのWindows EXEファイルです(UPX PE EXEファイル圧縮ユーティリティによって圧縮され、圧縮解除されると約70Kのサイズになります)。ローダーが(電子メールの添付ファイルから実行されている)コンピュータで起動されると、自身を隠しプロセス(サービス)として登録し、GDI32.EXEという名前のWindowsシステムディレクトリに自身をコピーし、自動実行に登録しますシステムレジストリキー:

HKLMSoftwareMicrosoftWindowsCurrentVersionRun
GDI = WinSystemGDI32.EXE

「WinSystem」はWindowsのシステムディレクトリ名です。その結果、ワームLoaderは各Windows起動時に実行されます。このディレクトリには、GDI.EXEとGDI32.DLLという標準のWindowsコンポーネントがあります。このワームは、GDI32.EXE名を使用して、標準のWindows環境で自身を偽装します。

ワームはその活動を隠すために、偽のエラーメッセージを表示します。

Win32 valideのファイル名です。

FileNameはワームの実際のファイル名です。

ワームは、Mainコンポーネントを取得して実行するメインプロシージャを起動します。 http://www.geocities.com/olivier1548/ Webページにアクセスし、そこからいくつかのファイルを取得します。

  • LASTVERSION.TXT – そこで入手可能な最新のワームバージョンの番号を持つテキストファイル。新しいバージョンがない場合、ワームは終了します。
  • nn.ZIP – ワームの最新バージョン主なコンポーネント "nn"はLASTVERSION.TXTで定義されています。
  • GATEWAY.ZIP – ワームローダーコンポーネントの最新バージョン。

nn.ZIPおよびGATEWAY.ZIPファイルは、実際にはアーカイブではなく、暗号化されたWindows EXEファイルです。 Worm Loaderはそれらを解読し、Windowsディレクトリにコピーして生成します。その結果、メインコンポーネントがコンピュータで有効になります。

メインワームコンポーネントは、サイズが約40KのWindows EXEファイルです(UPX PE EXEファイル圧縮ユーティリティで圧縮されており、解凍されると120Kのサイズになります)。これは、GDI32A.EXEの名前でWindowsディレクトリにインストールされ、上記のウイルスローダーと同様の方法でシステムレジストリに登録されます。主なコンポーネントは、状況によっては、Windowsアドレス帳を開き、そこからInetアドレスを取得し、感染した電子メールメッセージを送信します。既知のワームバージョンでは、これらのメッセージには次のものがあります。

件名:あなたの毒を選択してください
添付ファイル名:girls.exe

メインワームコンポーネントには、感染したコンピュータを監視し、リモートホストマシンからそのリソースを実行するバックドア機能もあります。


オリジナルへのリンク