ウイルス情報

ウイルス名 危険度

W32/Zhelatin.a@MM

企業ユーザ: N/A
個人ユーザ: N/A
種別 トロイの木馬
最小定義ファイル
(最初に検出を確認したバージョン)
5966
対応定義ファイル
(現在必要とされるバージョン)
5967 (現在7659)
対応エンジン 5.3.00以降 (現在5600) 
エンジンバージョンの見分け方
情報掲載日 2010/04/30
発見日(米国日付) 2010/04/28
駆除補足 ウイルス駆除のヒント
概要 ウイルスの特徴 感染症状 感染方法 駆除方法

概要

・W32/Zhelatin.a@MMは、自身のSMTPエンジンを使い、「コマンドアンドコントロール」サーバから受け取った命令に従って、悪質なWebサイトへのリンクが組み込まれたメールを送信する大量メール送信型ワームです。また、このコマンドアンドコントロールサーバからコマンドを受信して、サービス拒否攻撃を仕掛け、新しい悪質なファイルをターゲットコンピュータにダウンロードできます。

TOPへ戻る

ウイルスの特徴

・今週、W32/Zhelatin.a@MMの亜種の新しいスパムが確認されました。この亜種はHTTPを使ってコマンドアンドコントロールサーバと通信を行い、サーバからコマンドとデータを受信して、悪質なWebサイトへのリンクが組み込まれたメールを送信し、サービス拒否攻撃を仕掛け、新しい悪質なソフトウェアをマシンにダウンロードします。

・実行時、数分間、メモリで常駐した後、C:\WINDOWS\asam.exeに自身のコピーをドロップ(作成)し、以下のファイルを追加します。

  • C:\WINDOWS\herjek.config

・このファイルにはIDが格納されており、クライアントの識別に使われます。

[config]
ID=1165050280

・以下のレジストリ項目が追加されます。

  • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\FWCFG
  • HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\asam = C:\WINDOWS\asam.exe
  • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\asam = C:\WINDOWS\asam.exe
  • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\ITStorage\Finders\ID = <ランダムな16進数データ>
  • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List\C:\WINDOWS\asam.exe = "C:\WINDOWS\asam.exe:*:Enabled:enable"

・さらに、異なるIPとの接続を確立し、以下のIPからデータを要求します。

  • 207.xx.xx.254
  • 207.xx.170.121
  • 209.85.xxx.15
  • 91.212.xxx.114

・jpg、gif、htmのいずれかの拡張子を持つランダムな3文字のファイル名に対してPOSTリクエストを実行します。

POST /akz.jpg HTTP/1.1
Content-Type: application/x-www-form-urlencoded
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windoss NT 5.1; SV1)
Host: 91.212.xxx.114
Content-Length: 736
Cache-Control: no-cache

・「Windoss」というつづりの誤りに注意してください。POSTされたデータには、gzip、base64でコード化された文字列が含まれています。

・応答には、メッセージテンプレート、受信者のリスト、件名、メッセージに組み込まれるURLなど、スパムの実行に必要な情報が含まれます。この亜種では、ow.ly、migre.me、is.gdなど、URL短縮機能が使われています。

TOPへ戻る

以下の症状が見られる場合、このウイルスに感染している可能性があります。

・上記のレジストリキー、ファイルおよびネットワーク活動が存在します。

TOPへ戻る

感染方法

・トロイの木馬は自己複製しません。多くの場合、その実行可能ファイルに何らかの利益があると思わせて手動で実行させることにより繁殖します。電子メール、IRC、ピアツーピアネットワーク、ニュースグループへの投稿などを通じて配布されます。

・W32/Zhelatin.a@MMはコマンドアンドコントロールサーバから受信したリストに記載されている受信者に悪質なリンクを送信します。これらのリンクにより、W32/Zhelatin.a@MMなどの悪質なプログラムに感染する可能性があります。

・メッセージはコマンドアンドコントロールサーバから送られたリスト、件名および本文を使って作成されます。件名の一例は以下のとおりです。

Subject: ! ex na ked
Subject: ! **** her, here she is
Subject: ! my ex nude
Subject: ! now my ex, now you watch
Subject: ! see my ex ndue
Subject: !! ex na ked
Subject: !! **** her, here she is
Subject: !! my ex nude
Subject: !! now my ex, now you watch
Subject: !! see my ex ndue
Subject: !!! ex na ked
Subject: !!! **** her, here she is
Subject: !!! my ex nude
Subject: !!! now my ex, now you watch
Subject: !!! see my ex ndue
Subject: . ex na ked
Subject: . **** her, here she is
Subject: . my ex nude
Subject: . now my ex, now you watch
Subject: . see my ex ndue
Subject: .. ex na ked
Subject: .. **** her, here she is
Subject: .. my ex nude
Subject: .. now my ex, now you watch
Subject: .. see my ex ndue
Subject: 10 reasons to cure ED as soon as possible
Subject: 10 ways to satify her desires
Subject: 5 ways to make your love more passionate
Subject: ? ex na ked
Subject: ? **** her, here she is
Subject: ? my ex nude
Subject: ? now my ex, now you watch
Subject: ? see my ex ndue
Subject: ?? ex na ked
Subject: ?? **** her, here she is
Subject: ?? my ex nude
Subject: ?? now my ex, now you watch
Subject: ?? see my ex ndue
Subject: ??? ex na ked
Subject: ??? **** her, here she is
Subject: ??? my ex nude
Subject: ??? now my ex, now you watch
Subject: ??? see my ex ndue
Subject: Adult Bedtime Enhancer
Subject: All you need is a blue pill for bed!
Subject: Be beloved by her tonight
Subject: Become King of the Bed
Subject: Best prices to cure ED
Subject: Breathe a new life into your intimate life
Subject: Disappointed with your bad performance in bed?
Subject: Do you need help falling in sleep..
Subject: Do you need help falling to sleep..
Subject: Do you need help in bed?
Subject: Ensure your potence and make love everywhere
Subject: Fast Shipping WorldWide
Subject: Fw: ex na ked
Subject: Fw: **** her, here she is
Subject: Fw: my ex nude
Subject: Fw: now my ex, now you watch
Subject: Fw: see my ex ndue
Subject: Gain 3+ Inches In Length
Subject: Get all the medications you want online!
Subject: Get your favorite rxmed here!
Subject: Get your favorite rxmedications here!
Subject: Give her wonderful hours of pleasure
Subject: Have long strong night in BED!
Subject: How to get rid of poor intimate life
Subject: How to please your gf 5 times a day
Subject: If you look stupid in bed
Subject: International Pharm get med cheaper online
Subject: Make your girl happier
Subject: Male Enhancement Reviews
Subject: Much bigger, than you used to have it!
Subject: Please your spouse more often then not
Subject: Re: ex na ked
Subject: Re: **** her, here she is
Subject: Re: my ex nude
Subject: Re: now my ex, now you watch
Subject: Re: see my ex ndue
Subject: Really nice things are waiting
Subject: Refill your life with sexual excitement!
Subject: Safest and approved method of male enhancing
Subject: Satify Her in Bed Tonight!
Subject: Satify your spouse
Subject: Satify your spouses bed needs easier
Subject: See your love tool growing!
Subject: She will give her heart to you for incredible nights
Subject: Sometimes we need some help in bed?
Subject: Spend endless nights of pleasure
Subject: Spice up your sexual senses in bed
Subject: Sstep up your game in Bed!
Subject: Step up your performance in bed!
Subject: The ladies love it, I know
Subject: Want to act like a pornstar? Take a bluepill!
Subject: Want to get rid of sexual anxiety!
Subject: We can tell what really works!
Subject: Win from benefits of hidden secret of pornstars!
Subject: You will be glad i found this!
Subject: add some spices to the bed..
Subject: ancient advice for the bed
Subject: best performance adult bed games
Subject: easiest way to keep it strong in bed
Subject: for the best performance in bed..
Subject: give her a great time in bed
Subject: give her a great time in bed from now on!
Subject: good news for the bed
Subject: great offers to spice it up in bed..
Subject: have a easier time making her...
Subject: its time to spice up the bed
Subject: need some help in the bed?
Subject: sex games in bed weak?
Subject: spice it up in bed..No Doc Needed
Subject: thing you never knew existed online
Subject: tips that are good for bed
Subject: we offer the easiest way to stay hard in bed!
Subject: we offer the easiest way to stay strong in bed

・メッセージ本文には、URLに続いて、以下のいずれかのメッセージが組み込まれています。

Check Out our web site today ->
Come To our web site today ->
Come by our web site today ->
Ex Girlfriend live her smooth ****
Ex Girlfriend live in bed spreading
Ex Girlfriend live naked in mirror
Ex Girlfriend live posing for self shots
Ex Girlfriend live undress in bed
Ex Girlfriend see her smooth ****
Ex Girlfriend see in bed spreading
Ex Girlfriend see naked in mirror
Ex Girlfriend see posing for self shots
Ex Girlfriend see undress in bed
Ex Girlfriend shows her smooth ****
Ex Girlfriend shows in bed spreading
Ex Girlfriend shows naked in mirror
Ex Girlfriend shows posing for self shots
Ex Girlfriend shows undress in bed
Ex Girlfriend watch her smooth ****
Ex Girlfriend watch in bed spreading
Ex Girlfriend watch naked in mirror
Ex Girlfriend watch posing for self shots
Ex Girlfriend watch undress in bed
Ex girl friend live her smooth ****
Ex girl friend live in bed spreading
Ex girl friend live naked in mirror
Ex girl friend live posing for self shots
Ex girl friend live undress in bed
Ex girl friend see her smooth ****
Ex girl friend see in bed spreading
Ex girl friend see naked in mirror
Ex girl friend see posing for self shots
Ex girl friend see undress in bed
Ex girl friend shows her smooth ****
Ex girl friend shows in bed spreading
Ex girl friend shows naked in mirror
Ex girl friend shows posing for self shots
Ex girl friend shows undress in bed
Ex girl friend watch her smooth ****
Ex girl friend watch in bed spreading
Ex girl friend watch naked in mirror
Ex girl friend watch posing for self shots
Ex girl friend watch undress in bed
Visit our web site today ->
X girlfriend live her smooth ****
X girlfriend live in bed spreading
X girlfriend live naked in mirror
X girlfriend live posing for self shots
X girlfriend live undress in bed
X girlfriend see her smooth ****
X girlfriend see in bed spreading
X girlfriend see naked in mirror
X girlfriend see posing for self shots
X girlfriend see undress in bed
X girlfriend shows her smooth ****
X girlfriend shows in bed spreading
X girlfriend shows naked in mirror
X girlfriend shows posing for self shots
X girlfriend shows undress in bed
X girlfriend watch her smooth ****
X girlfriend watch in bed spreading
X girlfriend watch naked in mirror
X girlfriend watch posing for self shots
X girlfriend watch undress in bed
ex-gf live her smooth ****
ex-gf live in bed spreading
ex-gf live naked in mirror
ex-gf live posing for self shots
ex-gf live undress in bed
ex-gf see her smooth ****
ex-gf see in bed spreading
ex-gf see naked in mirror
ex-gf see posing for self shots
ex-gf see undress in bed
ex-gf shows her smooth ****
ex-gf shows in bed spreading
ex-gf shows naked in mirror
ex-gf shows posing for self shots
ex-gf shows undress in bed
ex-gf watch her smooth ****
ex-gf watch in bed spreading
ex-gf watch naked in mirror
ex-gf watch posing for self shots
ex-gf watch undress in bed

TOPへ戻る

駆除方法

■現行のエンジンとウイルス定義ファイルを使用して、検出・駆除して下さい。

システムスタートアップをフックするためのシステムレジストリ、INIファイルの修正は、推奨エンジン/ウイルス定義ファイル以上を使用した場合は正常に駆除されます。

Windows ME/XPでの駆除についての補足

TOPへ戻る