--- 2009年4月10日更新 ---
・以下のWebサイトで注目されたため、危険度を[低（要注意）]に変更しました。
http://isc.sans.org/diary.html?storyid=6178
・Spy-Agent.bgの新しい亜種は以下の場所に自身をコピーします。
C:\Documents and Settings\[ユーザ名]<ユーザ名>\Start Menu\Programs\Startup\userinit.exe
C:\Documents and Settings\[ユーザ名]<ユーザ名>\svchost.exe
%WinDir%\system32\drivers\services.exe
・以下のサーバに接続しようとします。
- stopgam.cn
- stopgam2.cn
- serv.plathost.ru
・また、以下にルートキットコンポーネントをインストールします。
C:\WINDOWS\new_drv.sys
・このコンポーネントはGeneric Rootkit.dという名前で検出されます。
--- 2008年9月16日更新 ----
・以下のWebサイトで注目されたため、危険度を[低（要注意）]に変更しました。
http://www.freelanceuk.com/news/2843.shtml
・実行時、以下のファイルをドロップ（作成）します。
- %WinDir% \system32\cabpck.dll(hidden file,identfied as Generic Rootkit.d trojan)
- %WinDir% \system32\krnlcab.sys(hidden file, identfied as Generic Rootkit.d trojan)
- %WinDir% \system32\k86.bin
（%WinDir%はデフォルトのWindowsフォルダ。例：C:\WINNT、C:\WINDOWSなど）
・以下のレジストリキーを追加します。
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\cabpck\Asynchronous: 0x00000001
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\cabpck\DllName: "%WinDir%\System32\cabpck.dll"
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\cabpck\Impersonate: 0x00000001
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\cabpck\Startup: "cabpck"
・乗っ取ったシステムが再起動されるたびに、.dllファイルがすべてのプロセスに挿入されます。
・ルートキットの手法を使い、以下のSSDT関数にフックします。
- ZwCreateProcess
- ZwCreateProcessEx
- ZwOpenProcess
- ZwOpenKey
- ZwQueryDirectoryFile
・以下のサーバに接続しようとします。
・接続後、さらにマルウェアをダウンロードしたり、他のリモートコマンドを受け取ったりします。
・乗っ取ったマシンからパスワードなどの資格情報を盗み出す可能性があります。
-----------------------------------------
更新： 05/13/2008
・Spy-Agent.bgの新しい亜種にはiexplorer.exeというファイル名が付けられています。
・実行時、動作した場所から自身を削除し、explorer.exeを含むさまざまなプロセスにスレッドを挿入します。
・マシン上で見つかったユーザ情報、ユーザの閲覧情報を以下にポストしようとします。
- 58.65.236.1
- pull2.assisback.com
・ランダムなポートでバックドアを開き、コマンドを受信しようとします。
----------------------------------------------------------------------------------------------------------------------------------------------------
・実行時、Spy-Agent.bgは以下のパスに自身をコピーします。
・以下のレジストリキーが追加されます。
- hkey_current_user\software\microsoft\windows\currentversion\runttool="%WINDIR%\scvc.exe"
- hkey_current_user\software\microsoft\inetdata\k1=(ランダムな数字)
- hkey_current_user\software\microsoft\inetdata\k2=(ランダムな数字)
・以下のURLに接続します。
81.[削除].147.107/cgi-bin/options.cgi
81.[削除].147.107/cgi-bin/forms.cgi
81.[削除].147.107/cgi-bin/cert.cgi
・Spy-Agent.bgは以下の情報を送信しようとします。
- ローカルドライブの「MY」認証ストアに格納されている証明書
- ユーザ名、OSのバージョン
