Worm.Win32.Hai

技術的な詳細

これはWin32システム上に広がるローカルネットワークワームです。ワーム自体は約60KのWin32実行ファイルで、MS Visual C ++で書かれています。既知のワームバージョンは、PELock Win32 EXEファイル保護ツールによって暗号化されています。

展開プロセスは、ワームコピーをローカルネットワーク全体に分散して読み書き用に共有するドライブに配布します。ワームはネットワークリソース（共有ディレクトリ）を列挙し、そこにWINDOWSを探します。このようなサブディレクトリが見つかった場合、このワームは、EXE名（例：RLITK.EXE、STNXOUL.EXE）を含むファイルに自身をコピーし、そのコピーをWIN.INIファイルの[windows]セクションに登録します。コマンド（自動実行コマンド）。結果として、ワームはWin9xマシンのみを感染させることができます（WinNTはWIN.INIファイルを使用せず、代わりにレジストリを使用します）。

ワームは、WIN.INIファイルを変更する際に一時的なWIN.HAIファイルを使用します。したがって、ワームはそのような方法で命名されます。

ワームはまた、ローカルネットワークと他のIPアドレスをスキャンします。ワームは、スキャン中に次のIPアドレスを取得し、そのマシンへの接続を開こうとした後、すぐに接続を終了し、接続結果を使用しません。

ワームは、現在のマシンのIPアドレスを「ベースアドレス」として取得し、次に2つのプロセスを実行します。最初のものはベースアドレスをインクリメントしてすべてのIPアドレスをスキャンし、もう1つはベースを減らすことによって行います住所。

たとえば、現在のマシンのIPが192.3.2.1である場合、ワームは以下をスキャンします。

 第1工程第2工程

 192.3.2.1 192.3.2.1
 192.3.2.2 192.3.1.255
 192.3.2.3 192.3.1.254
 192.3.2.4 192.3.1.253
 ... ...
 192.3.2.255 192.3.1.1
 192.3.3.1 192.2.255.255
 ... ...
 192.3.255.255 192.1.1.1
 192.4.1.1 191.255.255.255