本サービスには一部、Googleの支援により翻訳されたコンテンツが含まれます。Googleは、明示または黙示を問わず、市場性、特定目的への適合性、ならびに非侵害の黙示的保証を含む、翻訳の精度、信頼性、正確性に関連するあらゆる点において保証しません。

Kaspersky Labの本Webサイトは、便宜上、Google Translateを搭載した翻訳ソフトウェアを利用して翻訳されています。正確な翻訳となるよう合理的な努力を払ってはおりますが、自動翻訳の正確性は完全ではなく、翻訳者(人間)による翻訳に代わるものとして意図されているものでもありません。翻訳はKaspersky Labの本Webサイトをご利用の皆様の利便性を図るためのものであり、「翻訳結果をそのまま」ご提供するものです。英語からその他言語への翻訳における精度、信頼性、正確性に関しては、明示または黙示を問わず、いかなる保証もなされません。翻訳ソフトウェアのため、コンテンツの一部(画像、動画、フラッシュ等)は正しく翻訳されない場合があります。

Worm.Win32.Fipp

検出日 07/10/2012
クラス Worm
プラットフォーム Win32
説明

ホストシステムに感染中:

  • マルウェアが初めて実行されると、
     %system32%wmicuclt.exeおよび%system32%wscript.exe 

    。検出された場合は、最後のファイルセクションにマルウェア部分を追加して元のファイルを感染させます(以下の感染方法を参照)。

  • リモートアクセス接続サービスを作成します。
    
    
    
    HKLMSystemControlSetServices(および他のControlSets)。 

    "ImagePath"文字列は%system32%wmicuclt.exeの感染ファイルを指します。

  • HKLMSystemSelectの下に新しい値を作成します。値の名前は "rtm"または "v"です。 HKLMSystemSelectは、ブート情報を格納するためにWindows OSで使用されます。 OSローダは、OSのロード中にCurrent / Default / failed / LastKnownGoodブート設定を読み込みます。マルウェアは、この場所に自身またはウイルス固有のデータを格納するためにレジストリキーを使用します。
  • コードを
     SVCHOST.EXE、LSASS.EXE 
  • 次のフォルダへの感染を避ける:
     「Windows」、「winnt」、「s」、「qq」、「Outlook」、「システムボリューム情報」、 
    
    
    
    「Recycler」、「InternetExplorer」、「Messenger」、 
    
    
    
    "一般的なファイル" 
  • ホストシステムにWOW64、SQSh、Srhのアクセスパラメータがインストールされている場合はそれを探します。
  • リモートセッションが感染したホストに検出された場合、Windowsクライアントコマンド " tsclient $ c"を実行してリモートドライブにアクセスしようとし、* .exeファイルに感染します。その結果、接続するホストも感染します。
  • リモートホスト上のファイルに感染する
    
    
    
     "admin $" system32wmicuclt.exe、 
    
    
    
     "admin $" system32wscript.exe
    
    
    
    
  • remotehostipc $経由でリモートドライブをマップする

リモートURL:

  • ワームは、ウェブサイト名の "ppift"、 "ppns"部分文字列を含むURLに接続できます。

ファイルに感染すると、次のことが行われます。

  • 感染したコンピュータ上の共有フォルダを検索し、見つかったすべての* .exeファイルを感染させます。
  • 共有フォルダーへのアクセスにユーザー資格情報が必要な場合は、ユーザーアカウントとパスワードを強要しようとします。これらはいくつかの変形例です:
     "admin" / "678"、 "admin" / "1qaz2wsx"、 "user" / "1"、 "test" / "1" 
    
    
    
    "テスト" / "321" 

    およびアカウントやパスワードの他の単純なパスワードの組み合わせ

     "1234"、 "56"、 "qwert"、 "letmein"、 "secret"、 "rockyou"、 "iloveyou" 
    
    
    
    "root"、 "super"、 "princess"、 "alpha"、 "Patrick"、 "temp" 
    
    
    
    "P @ ssW0rd" 

    。他の多くの話題の言葉。

  • ファイルに感染すると、元のホストファイルの最後、ファイルの最後のセクションに自身を追加します。ファイルの先頭から0x28hのオフセットに "PPIF"キーワードを書き込むことによってファイルのヘッダーを変更します。
  • 新しいファイルは元のファイルより47,872バイト大きいです。

AVアプリケーションをどのように無効にするか

  • 感染したホスト上で実行されると、プロセス名に次の単語を含むプロセスが検索されます。
     "F-Secure"、 "IKARUS-GuardX"、 "360sd"、 "360Tray"、 "WP"、 "ShStatEx" 
    
    
    
    「Sophos AutoUpdate Monitor」、「AVP」、「AVG_TRAY」、「egui」、 
    
    
    
    "Gデータアンチウィルス"、 "BitDefender AntiVirus"、
    
    
    
    「Trendeマイクロクライアントフレームワーク」、「kxesc」、「avgnt」、 
    
    
    
    "RAvTray"、 "DWIN"; 
  • 検出された場合、レジストリエントリを検索し、削除して直ちにシステムを再起動します。再起動後、サービスエントリがないため、AV製品を起動できなくなります。

オリジナルへのリンク