|
|
ウイルス情報| 種別 | ウイルス | 最小定義ファイル
(最初に検出を確認したバージョン) | 4352 | 対応定義ファイル
(現在必要とされるバージョン) | 4352 （現在7109) | | 対応エンジン | 4.2.40以降 (現在5.4.00)
エンジンバージョンの見分け方 | | 別名 | Sepuc.dldr (downloader component)
Sepuc.dll
Sepuc.dr (dropper component)
Trj/Sepuc.A (Panda) | | 情報掲載日 | 04/04/22 | | 発見日（米国日付） | 04/04/21 | | 駆除補足 | ウイルス駆除のヒント
| |
|
|
| ウイルスの特徴 | TOPに戻る | |
・W32/Shodi.c@MMは、前方追加型ファイルウイルスです。VBSスクリプトをドロップ（作成）して、Outlookのアドレス帳から抽出した受信者に自身を電子メールで送信します。2004年5月以降、重要なシステムファイルを削除するという破壊的な発病ルーチンを実行します。
・この情報掲載時点では、Sepucは電子メールによって繁殖するトロイの木馬であることが知られています。
総称による検出
・ダウンロードされたCHM（コンパイルされたヘルプ）ファイルHELP.CHMが、定義ファイル4299以降でVBS/Psymeとして検出されます。
・以下のファイルを内蔵しています。
- HELP.CHM（10,872バイト） - ダウンロードスクリプトを内蔵するCHMファイル
- NOTEPAD.EXE（3,584バイト） - ドロッパをダウンロードして実行するトロイの木馬型ダウンローダ
- DROPPER（ランダムなファイル名）（49,152バイト） - 以下の3つのファイルをドロップ（作成）してインストールするトロイの木馬
- SECUPD.EXE（14,336バイト）
- INFO.DLL（7,680バイト）
- UPDATE.DLL（6,144バイト）
・感染のメカニズムの詳細は、感染のメカニズムのセクションを参照してください。
・AVERTの初期の分析において、Sepucがいったんインストールされると、ターゲットマシン上のある形式のプロキシとして動作し、自身を更新することが可能であると考えられます。これはまだ調査中で、調査が終了次第、情報が更新されます。
|
|
| 以下の症状が見られる場合、このウイルスに感染している可能性があります。 | TOPへ戻る |
・感染のメカニズムのセクションで記載されているレジストリキーが存在します。
・感染のメカニズムのセクションで記載されているサービスが存在します。
|
|
| 感染方法 | TOPへ戻る | |
・Sepucは複数の手順を介してインストールされ、なかにはInternet Explorerの脆弱性を利用するものもあります。
・感染のメカニズムの概要は以下のとおりです。
・スパムメールのメッセージは、Internet Explorerの脆弱性を利用する不正なオブジェクトデータのタグを内蔵します。（Exploit-MhtRedirの説明を参照）ターゲットマシンにCHMファイルをダウンロードするためです（HELP.CHM）。
・このCHMファイルは、定義ファイル4299以降でVBS/Psymeとして検出されます。ファイルをローカルディスクにダウンロードして書き込むためのスクリプトです。このファイルはNOTEPAD.EXEまたはSETUP1.EXE（3,584バイト）としてディスクに書き込まれます。以下のようなさまざまな場所に書き込まれます。
- C:\WINNT\TEMP
- C:\WINXP\TEMP
- C:\WINDOWS\TEMP
- C:\WINNT\SYSTEM32
- C:\WINXP\SYSTEM32
- C:\WINDOWS\SYSTEM32
- C:\TEMP
- C:\WINNT
- C:\WINDOWS
- C:\WINXP
・このファイルはダウンロード型トロイの木馬で、別のもう1つのファイルをダウンロードして実行します。リモードマシン（ダウンローダにハードコード化されたIPアドレス）のポート6000にデータを送信して、ファイルをダウンロードします。ダウンロードされたファイルは、それ自身がほかのファイルへのドロッパです。
・ドロッパが実行されると、以下の3つのファイルがターゲットマシンにドロップ（作成）されます。
- %SysDir%\SECUPD.EXE（14,336バイト）
- %SysDir%\INFO.DLL（7,680バイト）
- %SysDir%\UPDATE.DLL（6,144バイト）
・以下のサービスがターゲットマシンにインストールされます。
- HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\Windows Security Update
表示名：Windows Security Update
ImagePath：%systemroot%\system32\secupd.exe
起動：自動
・SECUPD.EXEは、ターゲットマシン上のLSASS.EXEのプロセススペースに、2つのDLLファイルを挿入します。
・構成データは、感染したシステムにも追加される以下のレジストリ内に保存されます。
|
|
|
|
|  |
