Worm.Win32.Fipp

親クラス: VirWare

ウイルスおよびワームは、コンピュータ上またはコンピュータネットワーク上で自己複製する悪意のあるプログラムであり、ユーザーは認識しません。そのような悪意のあるプログラムの後続のコピーも自己複製することができます。 「所有者」（例：Backdoors）または自己複製が不可能な複数のコピーを作成するプログラムによって、ネットワーク経由で感染したり、リモートマシンに感染したりする悪質なプログラムは、ウイルスおよびワームのサブクラスには含まれません。プログラムがViruses and Wormsサブクラス内の別個の動作として分類されるかどうかを判断するために使用される主要な特性は、プログラムがどのように伝搬するか（すなわち、悪意のあるプログラムがローカルまたはネットワークリソースを介してどのように自身のコピーを広げるか）電子メール添付ファイルとして送信されたファイルとして、WebまたはFTPリソースへのリンク経由で、ICQまたはIRCメッセージで送信されたリンク経由で、P2Pファイル共有ネットワークなどを介して送信されます。これらは直接コンピュータのメモリに侵入し、ワームコードが有効になります。ワームは、リモートコンピュータに侵入して自身のコピーを開始するために、ソーシャルエンジニアリング（例えば、ユーザーが添付ファイルを開くことを示唆する電子メールメッセージ）、ネットワーク構成エラー（完全にアクセス可能なディスクへのコピーなど）を利用し、オペレーティングシステムとアプリケーションのセキュリティの抜け穴ウイルスは、コンピュータを感染させる方法に従って分割することができます。ファイルウイルス - ブートセクタウイルス - マクロウイルススクリプトウイルス - このサブクラス内のプログラムは、追加のトロイの木馬機能を持つことができます。また、ネットワークを介してコピーを広めるために、多くのワームが複数の方法を使用していることにも注意してください。これらのタイプのワームを分類するには、検出されたオブジェクトを複数の機能で分類するためのルールを使用する必要があります。

クラス: Worm

ワームは、ネットワークリソースを介してコンピュータネットワーク上に広まります。 Net-Wormとは異なり、ユーザーはワームを起動して起動する必要があります。この種のワームは、リモートのコンピュータネットワークを検索し、読み書き可能なディレクトリに自身をコピーします（見つかった場合）。さらに、これらのワームは、内蔵のオペレーティングシステム機能を使用して、アクセス可能なネットワークディレクトリを検索したり、インターネット上のコンピュータをランダムに検索したり、それらに接続したり、これらのコンピュータのディスクに完全にアクセスしようとします。また、このカテゴリには、1つまたは複数の理由で、上記で定義した他のカテゴリ（モバイルデバイス用のワームなど）に適合しないワームも含まれます。

プラットフォーム: Win32

Win32は、32ビットアプリケーションの実行をサポートするWindows NTベースのオペレーティングシステム（Windows XP、Windows 7など）上のAPIです。世界で最も広く普及しているプログラミングプラットフォームの1つです。

説明

ホストシステムに感染中：

• マルウェアが初めて実行されると、

   ％system32％wmicuclt.exeおよび％system32％wscript.exe 

  。検出された場合は、最後のファイルセクションにマルウェア部分を追加して元のファイルを感染させます（以下の感染方法を参照）。
• リモートアクセス接続サービスを作成します。

  HKLMSystemControlSetServices（および他のControlSets）。 

  "ImagePath"文字列は％system32％wmicuclt.exeの感染ファイルを指します。
• HKLMSystemSelectの下に新しい値を作成します。値の名前は "rtm"または "v"です。 HKLMSystemSelectは、ブート情報を格納するためにWindows OSで使用されます。 OSローダは、OSのロード中にCurrent / Default / failed / LastKnownGoodブート設定を読み込みます。マルウェアは、この場所に自身またはウイルス固有のデータを格納するためにレジストリキーを使用します。
• コードを

   SVCHOST.EXE、LSASS.EXE 

• 次のフォルダへの感染を避ける：

   「Windows」、「winnt」、「s」、「qq」、「Outlook」、「システムボリューム情報」、 「Recycler」、「InternetExplorer」、「Messenger」、 "一般的なファイル" 

• ホストシステムにWOW64、SQSh、Srhのアクセスパラメータがインストールされている場合はそれを探します。
• リモートセッションが感染したホストに検出された場合、Windowsクライアントコマンド " tsclient $ c"を実行してリモートドライブにアクセスしようとし、* .exeファイルに感染します。その結果、接続するホストも感染します。
• リモートホスト上のファイルに感染する

   "admin $" system32wmicuclt.exe、  "admin $" system32wscript.exe

• remotehostipc $経由でリモートドライブをマップする

リモートURL：

• ワームは、ウェブサイト名の "ppift"、 "ppns"部分文字列を含むURLに接続できます。

ファイルに感染すると、次のことが行われます。

• 感染したコンピュータ上の共有フォルダを検索し、見つかったすべての* .exeファイルを感染させます。
• 共有フォルダーへのアクセスにユーザー資格情報が必要な場合は、ユーザーアカウントとパスワードを強要しようとします。これらはいくつかの変形例です：

   "admin" / "678"、 "admin" / "1qaz2wsx"、 "user" / "1"、 "test" / "1" "テスト" / "321" 

  およびアカウントやパスワードの他の単純なパスワードの組み合わせ

   "1234"、 "56"、 "qwert"、 "letmein"、 "secret"、 "rockyou"、 "iloveyou" "root"、 "super"、 "princess"、 "alpha"、 "Patrick"、 "temp" "P @ ssW0rd" 

  。他の多くの話題の言葉。
• ファイルに感染すると、元のホストファイルの最後、ファイルの最後のセクションに自身を追加します。ファイルの先頭から0x28hのオフセットに "PPIF"キーワードを書き込むことによってファイルのヘッダーを変更します。
• 新しいファイルは元のファイルより47,872バイト大きいです。

AVアプリケーションをどのように無効にするか

• 感染したホスト上で実行されると、プロセス名に次の単語を含むプロセスが検索されます。

   "F-Secure"、 "IKARUS-GuardX"、 "360sd"、 "360Tray"、 "WP"、 "ShStatEx" 「Sophos AutoUpdate Monitor」、「AVP」、「AVG_TRAY」、「egui」、 "Gデータアンチウィルス"、 "BitDefender AntiVirus"、「Trendeマイクロクライアントフレームワーク」、「kxesc」、「avgnt」、 "RAvTray"、 "DWIN"; 

• 検出された場合、レジストリエントリを検索し、削除して直ちにシステムを再起動します。再起動後、サービスエントリがないため、AV製品を起動できなくなります。

も参照してください

お住まいの地域に広がる脆弱性の統計をご覧ください statistics.securelist.com