|
・W32/Randon.worm.pには複数の亜種が存在するので、この情報は一般的なガイドとしてお読みください。W32/Randon.worm.pはトロイの木馬で、ドロッパファイルを作成、またはトロイの木馬を使用するハッカーが具体的な活動を決定します。
・W32/Randon.worm.pはIRC（Internet Relay Chat）ボット/DDoS（分散型サービス拒否）ツールで、自己解凍アーカイブによって落とし込まれます。通常、このアーカイブはmIRCクライアントのコピーを内蔵しているので、ユーザのシステムにmIRCがインストールされていなくてもDDoS攻撃を実行できます。
・W32/Randon.worm.pは複数のファイルで構成されるIRCボット/DDoSパッケージで、自己解凍アーカイブによって落とし込まれます。通常、このアーカイブはmIRCクライアントのコピーを内蔵しているので、ユーザのシステムにmIRCがインストールされていなくてもDDoS攻撃を実行できます。このアーカイブはリモートに格納されているので（ダウンローダコンポーネントによってダウンロードされます）、ファイル名とサイズは異なる可能性があります。AVERTの受けた報告では、CO15_1~1.EXE、またはCOTH.EXE（664,879バイト）というファイル名でした。
・ターゲットマシンでSFXアーカイブが実行されると、インストールディレクトリに多数のファイルを落とし込みます。ディレクトリ名、およびファイル名も異なる可能性がありますが、これまでに判明したパッケージの詳細は以下のとおりです。
インストールディレクトリ：
上記のディレクトリに落とし込まれるファイル：
- e15.exe：ダウンローダコンポーネント。Downloader-AEとして検出
- Dx32.sys：mIRC設定ファイル
- exit.exe：PrcViewアプリケーション
- psexec.exe：RemoteProcessLaunchアプリケーション
- read.sys：IRCスクリプトファイル
- spread.bat：リモートログオンとファイルを起動するバッチファイル
- secure.bat：開いている共有を削除するバッチファイル
- secure.exe：HideWindowアプリケーション
- system.sys：IRCスクリプトファイル
- shell32.exe：UPXで圧縮されたmIRCクライアント
- winnt.sys：中身のないファイル（0バイト）
注：上記のアプリケーションタイプを検出するには、コマンドラインスキャナ（「/PROGRAMスイッチ」を使用する）、または VirusScan 7（「有害の可能性のあるアプリケーションの検出」を有効にする）を使用してください。詳細については、使用するアプリケーションのそれぞれの検出に関する説明をご覧ください。
・以下のレジストリキーを追加して、システムの起動時にmIRCクライアントを実行します。
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
"windows" = %SysDir%\dirctpc\windows.exe
・SPREAD.BATバッチファイルは、以下のユーザ名とパスワードの組合せを使用します（ユーザ名、パスワード）。
- Administrator
- Administrator, xxyyzz
- admin, abc
- student, student
- teacher, teacher
- user, "" (ブランク)
- user, user
- test, test
- Administrator, test123
- Administrator, 1
- Administrator, 123
- admin, 12345
- Administrator, temp
- Administrator, "" (ブランク)
- Administrator, Administrator
- Administrator, test
- Administrator, admin
- Administrator, pass
- Administrator, password
- root, root
- Administrator, changeme
- admin, admin
- Administrator, 123456
- Administrator, 654321
- Administrator, abc123
- Administrator, 12345
- Administrator, red123
- Administrator, admin123
- Administrator, qwerty
- Administrator, asdf
- Administrator, password123
- Administrator, secret
- Administrator, qwertyuiop
- Administrator, 12345
- Administrator, 54321
・感染したマシンを慎重に調べてください。ダウンロードされたドロッパファイルは、新しいファイルで再パッケージ化されることもあるので、攻撃者が他のハッキングツールやバックドアウイルスをインストールした可能性があります。
・mIRCがシステムにインストールされている場合は、インストールされているmIRCを指すレジストリエントリを、W32/Randon.worm.pが落とし込んだバージョンにリダイレクトします。
|
|
