-- 2006年4月6日更新 --
・偽のエラーメッセージを表示し、ユーザにセキュリティソフトウェアプログラムをダウンロードするよう求めるVundoの最新の亜種が確認されました。Vundoを削除するため、SysProtectアプリケーションをダウンロードするよう求められます。
本文: There is a security vulnerability from the "Beagle Virus". We recommend you DOWNLOAD one of the security software programs to prevent malware infections.
レジストリの変更
・Vundoはオリジナルの特性のほとんどを維持していますが、以下のレジストリの改変が行われます。
・自身をBHOとして追加します。
- HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{1AE6D7D5-0C28-4DB6-9FD1-33B870A4C5F2}\InprocServer32\: "VundoのDLLファイルへのパス"
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{1AE6D7D5-0C28-4DB6-9FD1-33B870A4C5F2}
・ランダムなファイル名でwinlogonキーを作成します。
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\filename.
\Startup: "SysLogon"
\Logoff: "SysLogoff"
・以下のキーも追加されます。
- HKEY_LOCAL_MACHINE\SOFTWARE\Classes\DosSpecFolder.DosSpecFolder
- HKEY_LOCAL_MACHINE\SOFTWARE\Classes\DosSpecFolder.DosSpecFolder.1
------------------------------------
・古い亜種の特徴は以下のとおりです。
- DLLファイルを復号化し、ターゲットマシンにドロップ（作成）します。このDLLはターゲットマシンからデータを収集することを目的としているようです。
- EXEファイルをターゲットマシンにドロップ（作成）します。このコンポーネントはAdware-Virtumondoに関連しているようです。
・実行時、VMTEMP.TMPがローカルの一時ディレクトリに書き込まれます。
例:
- C:\DOCUMENTS AND SETTINGS\USER\LOCALSETTINGS\TEMP\VMTEMP.TMP (387,133バイト)
・このファイルが実行されると、以下のレジストリキーが追加されます。
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce "*(ファイル名)"
・また、2つのDLLもターゲットマシンにインストールされます。両方ともサイズは86,016バイトです。使用されるファイル名はランダムですが、ファイル拡張子に.DATが使用されます。
・これらのDLLに対する以下のCLSIDが追加されます。
- HKEY_CLASSES_ROOT\CLSID\{8109AF33-6949-4833-8881-43DCC232B7B2}
- HKEY_CLASSES_ROOT\CLSID\{2316230A-C89C-4BCC-95C2-66659AC7A775}
・以下のキーにより、DLLがBrowser Helper Objects（BHO）としてターゲットマシンにインストールされる可能性があります。
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer
\Browser Helper Objects\{8109AF33-6949-4833-8881-43DCC232B7B2}
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer
\Browser Helper Objects\{2316230A-C89C-4BCC-95C2-66659AC7A775}
・以下のキーも追加されます。
- HKEY_CLASSES_ROOT\ATLEvents.ATLEvents
- HKEY_CLASSES_ROOT\ATLEvents.ATLEvents.1
・さまざまなデータが（HTTPを介して）リモートサーバに送信されます。一例は以下のとおりです。
- バージョン情報
- クラッシュ履歴
- アフィリエイトID
・DLLの1つ（実際はファイル拡張子に.DATを使用）は合法的なEXPLORER.EXEプロセスに挿入されるため、リモートHTTP接続が開始されると、ソフトウェアファイアウォールが誤って警告することがあります。
