ウイルス情報

ウイルス名 危険度

W32/Stinbot.worm.b

企業ユーザ: 低
個人ユーザ: 低
種別 ウイルス
最小定義ファイル
(最初に検出を確認したバージョン)
4295
対応定義ファイル
(現在必要とされるバージョン)
4295 (現在7628)
対応エンジン 4.1.60以降 (現在5600) 
エンジンバージョンの見分け方
情報掲載日 03/10/15
発見日(米国日付) 03/09/01
駆除補足 ウイルス駆除のヒント
概要 ウイルスの特徴 感染症状 感染方法 駆除方法

ウイルスの特徴

・このワームは、簡易なパスワードで保護された共有ネットワークを介して繁殖します。感染したネットワークはTCPポート445上でのトラフィックの増加を閲覧します。また、ワームの繁殖のためにWindows2K/XPを要求します。

・ワームはアクセス可能な共有ネットワークに、Inst.exeファイルとしてワーム自身をコピーし、遠隔でファイルを実行するためにRemote Process Launch(PSEXEC.EXE)ツールを使用します。

・ワームはIRC経由でも繁殖します。

・ワームが起動すると、以下のレジストリキーが作成されます。

●HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run " realplayer" = %worm path%.
● HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Runonce " realplayer" = %worm path%.
● HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run "realplayer"=%worm path%.
● HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonce "realplayer"=%worm path%.
● HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runservices "realplayer"=%worm path%.

・ワームは以下の共有を削除します。

●C$
●D$
●E$
●F$
●IPC$
●ADMIN$

TOPへ戻る

以下の症状が見られる場合、このウイルスに感染している可能性があります。

・感染したシステムからリモートマシンのポート445への、異常に高い送信TCPトラフィック。

・上記のレジストリキーの作成。

TOPへ戻る

感染方法

・このワームはWin9x/ME/NT システム上では機能しません。主要なワームコンポーネントが起動すると、バックドア型トロイの木馬インストールラー(INST.EXE)とRemote Process Launch applicationを落とし込みます。ワームはアクセス可能な共有ネットワークを介して、リモートシステム上でワーム自身のコピー・実行を試みます。また、IPC共有への接続を試み、以下のパスワードを使用します。

・0 000000
・ 00000000
・ 007
・ 1
・ 110
・ 111
・ 111111
・ 11111111
・ 12
・ 121212
・ 123
・ 123123
・ 1234
・ 12345
・ 123456
・ 1234567
・ 12345678
・ 123456789
・ 1234qwer
・ 123abc
・ 123asd
・ 123qwe
・ 2002
・ 2003
・ 2600
・ 54321
・ 654321
・ 88888888
・ a
・ aaa
・ abc
・ abc123
・ abcd
・ Admin
・ admin
・ admin123
・ administrator
・ alpha
・ asdf
・ computer
・ database
・ enable
・ foobar
・ god
・ godblessyou
・ home
・ ihavenopass
・ Internet
・ Login
・ login
・ love
・ mypass
・ mypass123
・ mypc
・ mypc123
・ oracle
・ owner
・ pass
・ passwd
・ Password
・ password
・ pat
・ patrick
・ pc
・ pw
・ pw123
・ pwd
・ qwer
・ root
・ secret
・ server
・ sex
・ super
・ sybase
・ temp
・ temp123
・ test
・ test123
・ win
・ xp
・ xxx
・ yxcv
・ zxcv

・ワームはリモートマシン上の以下の共有フォルダにとろいの木馬インストーラーを落とし込みます。

●C$\WINNT\All Users\Start Menu\Programs\Startup\inst.exe
●C\WINDOWS\Start Menu\Programs\Startup\inst.exe
●C$\Documents and Settings\All Users\Start Menu\Programs\Startup\inst.exe

TOPへ戻る

駆除方法

■現行のエンジンとウイルス定義ファイルを使用して、検出・駆除して下さい。

Windows ME/XPでの駆除についての補足

TOPへ戻る