ウイルス情報

ウイルス名 危険度

W32/Yaha.x@MM

企業ユーザ: 低
個人ユーザ: 低
種別 ウイルス
最小定義ファイル
(最初に検出を確認したバージョン)
4293
対応定義ファイル
(現在必要とされるバージョン)
4309 (現在7659)
対応エンジン 4.1.60以降 (現在5600) 
エンジンバージョンの見分け方
情報掲載日 03/09/18
発見日(米国日付) 03/09/17
駆除補足 ウイルス駆除のヒント
概要 ウイルスの特徴 感染症状 感染方法 駆除方法

ウイルスの特徴

・W32/Yaha.x@MMは、PE実行ファイルを圧縮するFSGでエンコードされています。

・W32/Yaha.x@MMは、電子メールとネットワーク共有で繁殖します。内蔵するSMTPエンジンを使用して、電子メールメッセージを作成します。特定のプロセス(ウイルス対策、セキュリティ関連)が実行中の場合は終了させます。リモートマシン(さまざまなターゲットがワームにハードコード化されています)に対してサービス拒否攻撃を仕掛けるコードを含んでいます。

インストール

・W32/Yaha.x@MMが実行されると、%Sysdir%ディレクトリに以下のファイル名で自身をインストールします。

  • EXELD32.EXE
  • EXPLORERE.EXE
  • TASKMGR32.DLL
    (%Windir%は、Windowsディレクトリです。例えば、C:\WINDOWSです。)
    (%Sysdir%は、Windows Systemディレクトリです。例えば、C:\WINDOWS\SYSTEMです。)

・以下のレジストリキーを追加して、システムの起動をフックします。

  • HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
    "MicrosoftServiceManager " = "C:\%sysdir%\Explorere.exe"

・以下のレジストリキーを改変して、.EXEファイルが実行されるたびに自身を実行します。

  • HKEY_CLASSES_ROOT\exefile\shell\open\command "Default " = "%Sysdir%\EXELD32.EXE""%1"%*"

・リモート共有にある特定のフォルダ(ワームにハードコード化されています)でWIN.INIファイルを検索します(テストでは、マップ済みのネットワークドライブのみを検索しました)。WIN.INIファイルが存在する場合は、該当するフォルダにREG32.EXEというファイル名で自身をコピーして、WIN.INIファイルに以下のフックを追加します。

  • [windows]
    run=REGE32.EXE

・以下のロケーションを検索します。

  • \WINDOWS\WIN.INI
  • \WIN98\WIN.INI
  • \WIN95\WIN.INI
  • \WINNT\WIN.INI
  • \WIN\WIN.INI
  • \WINME\WIN.INI
  • \WINXP\WIN.INI

大量メール送信

・W32/Yaha.x@MMは自身のSMTPエンジンを使用して、感染システムから電子メールメッセージを送信します。

・この情報掲載時点のテストでは大量メール送信ルーチンを実行しませんでしたが、ワームの文字列を見ると、以下で発見されるすべての電子メールアドレスに自身を送信するようです。

  • Windows Address Book
  • MSN Messenger
  • .NET Messenger
  • Yahoo Pager
  • Files matching *.HT*

・ワームの文字列から、これまでに発見されたW32/Yaha亜種と同様に送信者のアドレスを偽造すると考えられます。

・ワームの文字列をみると、(パッチを適用していないシステムで)電子メールメッセージをプレビュー表示すると自身を実行するようにInternet Explorerの2つの脆弱性(IFRAMEおよび不適切なMIMEヘッダの脆弱性)を含んだ送信メッセージとなっています。これらの脆弱性に関する詳細情報とパッチについてはMicrosoft Security Bulletin (MS01-020)をご覧ください。

・W32/Yaha.x@MMは、電子メールの送信で使用する以下の電子メールアドレスと送信者名のリストを内蔵しています。

  • admin@clubjenna.com
  • admin@codeproject2.com
  • admin@hackers.com
  • admin@hackers2.com
  • admin@hackersclub.com
  • admin@hackersclub2.com
  • admin@kofonline2.com
  • admin@viruswriters.com
  • admin@zpornstars.com
  • av_patch@mcafee.com
  • av_patch@norton.com
  • av_patch@trendmicro.com
  • btq@2632.com
  • caijob@online.sh.cn
  • cathy@21cn.com
  • cupid@freescreensavers.com
  • DNA_seraph@163.com
  • ericpan@online.com.pk
  • free@hardcorescreensavers.com
  • free@sexyscreensavers.com
  • free@sql.library.com
  • free@xxxscreensavers.com
  • hamada@seikosangyo.com
  • info@infotech.com
  • jenna@jennajameson.com
  • kkn@k2k.comscreensavers@nomadic.com
  • kl@aminoprojects.com
  • love@lovescreensavers.com
  • loverscr@lovers.com
  • loverscreensavers@love.com
  • lubing@7135.com
  • luoairong@21cn.com
  • marketing@playstation.com
  • marketing@segal.com
  • marketing@suppersoccer.com
  • marketing44@disney.com
  • me@me2K.com
  • newsletters@britneyspears.org
  • nics@noma.com
  • paul@kqscore2.com
  • plus@real.com
  • ravs@go2pussy.com
  • romanticscreensavers@love.com
  • sales@playboy.com
  • sales@real.com
  • sales@susoft.com
  • samsun@online.sh.cn
  • screensavers@lovers.com
  • sells@hacknet.net
  • services@tcsonline2.com
  • stone@esterplaza.com
  • super@21cn.com
  • therock@wwe.com
  • valentinescreensavers@t2k.com
  • valscr@freescreensavers.com
  • yjworks@online.sh.cn
  • zdenka@zpornstars.com
  • zhouyuye@citiz.net

または

  • American Beauty
  • Benting
  • britneyspears.org
  • Cathy Kindergarten
  • Clark Steel
  • Club Jenna
  • Codeproject
  • Cupid
  • Hardcore Screensavers
  • Iori Yagami
  • Jasmine Stevens
  • Jaucques Antonio Barkinstein
  • Jenna Jameson
  • Jericho
  • John Vandervochich
  • Jonathan
  • Keanu Stevenson
  • Klein Anderson
  • KOF Online
  • Kyo Kusanagi
  • Love Inc.
  • Lovers Screensavers
  • McAfee Inc.
  • me2K
  • Nicolas Schwarzeneggar
  • Nomadic Screensavers
  • Noopman
  • Norton Antivirus
  • Omega Rugal
  • Paul Owen
  • Playboy Inc.
  • Plus 2
  • Plus 6
  • Ralph Jones
  • Raveena Pusanova
  • Real Inc.
  • Rocking Stone
  • Romantic Screensavers
  • Romeo & Juliet
  • Ross Anderson
  • Screensavers of Love
  • Sexy Screensavers
  • SQL Library
  • Super Soccer
  • Susan
  • Terry Bogard
  • The Rock
  • Trend Micro
  • Valentine Screensavers
  • Veronica Anderson
  • XXX Screensavers
  • Zdenka Podkapova
  • zporNstarS

・以下の件名、ファイル名、本文を使用します。ただし、卑語は“*”で伏せ字にしています。

件名:

  • Are you a Soccer Fan ?
  • Are you beautiful
  • Are you in Love
  • Are you looking for Love
  • Are you the BEST
  • Check it out
  • Check this s***
  • Check this s*** out
  • Check ur friends Circle
  • Demo KOF 2002
  • Feel the fragrance of Love
  • Find a good friend
  • Freak Out
  • Free Demo Game
  • Free rAVs Screensavers
  • Free Screenavers of Love
  • Free Screensavers
  • Free Screensavers 4 U
  • Free Win32 API source
  • Free XXX
  • Hardcore Screensavers 4 U
  • hey check it yaar
  • Hip
  • Hip Shake it baby
  • How sweet this Screen saver
  • I am in Love
  • I Love You
  • I Love You..
  • Jenna 4 U
  • Learn How To Love
  • Learn SQL 4 Free
  • Let's Dance and forget pains
  • Looking for Friends
  • Looking for Friendship
  • love speaks from the heart
  • Lovers Corner make ur friend happy
  • Need a friend?
  • Need money ??
  • One Hacker's Love
  • One Virus Writer's Story
  • Patch for Elkern.gen
  • Patch for Klez.H
  • Play KOF 2002 4 Free
  • Project Sample Screensavers
  • Sample KOF 2002
  • Sample Playboy
  • Say 'I Like You' To ur friend
  • Screensavers from Club Jenna
  • Sexy Screensavers 4 U Shake it baby
  • The Hotmail Hack
  • The King of KOF
  • The world of Friendship
  • Things to note
  • to ur friends
  • to ur lovers
  • True Love
  • U realy Want this
  • Visit us
  • Wanna be a HE-MAN
  • Wanna be friends ?
  • Wanna be friends ??
  • Wanna be like a stone ?
  • Wanna be my sweetheart ??
  • Wanna Brawl ??
  • Wanna Hack ??
  • Wanna Rumble ??
  • war Againest Loneliness
  • We want peace
  • Whats up
  • Who is ur Best Friend
  • Who is your Valentine
  • World Tour
  • Wowwwwwwwwwww check it
  • WWE Screensavers
  • XXX Screensavers 4 U
  • You are so sweet

添付ファイル名:

  • Be_Happy.scr
  • Beautifull.scr
  • Best_Friend.scr
  • Body_Building.scr
  • Britney_Sample.scr
  • Codeproject.scr
  • colour_of_life.scr
  • Cupid.scr
  • dance.scr
  • FixElkern.com
  • FixKlez.com
  • FreakOut.exe
  • Free_Love_Screensavers.scr
  • Friend_Finder.exe
  • Friend_Happy.scr
  • friendship.scr
  • friendship_funny.scr
  • funny.scr
  • GC_Messenger.exe
  • Hacker.scr
  • Hacker_The_LoveStory.scr
  • Hardcore4Free.scr
  • hotmail_hack.exe
  • I_Like_You.scr
  • I_Love_You.scr
  • Jenna_Jemson.scr
  • King_of_Figthers.exe
  • KOF.exe
  • KOF_Demo.exe
  • KOF_Fighting.exe
  • KOF_Sample.exe
  • KOF_The_Game.exe
  • KOF2002.exe
  • life.scr
  • love.scr
  • Love.scr
  • LoveScr.scr
  • My_Sexy_Pic.scr
  • MyPic.scr
  • MyProfile.scr
  • Notes.exe
  • Peace.scr
  • Playboy.scr
  • Plus2.scr
  • Plus6.scr
  • Project.exe
  • Ravs.scr
  • Real.scr
  • Romantic.scr
  • Romeo_Juliet.scr
  • Screensavers.scr
  • Services.scr
  • Sex.scr
  • Sexy_Jenna.scr
  • shake.scr
  • Soccer.scr
  • SQL_4_Free.scr
  • Stone.scr
  • Sweet.scr
  • Sweetheart.scr
  • The_Best.scr
  • THEROCK.scr
  • True_Love.scr
  • up_life.scr
  • Valentine.scr
  • Valentines_Day.scr
  • VXer_The_LoveStory.scr
  • Ways_To_Earn_Money.exe
  • world_of_friendship.scr
  • World_Tour.scr
  • xxx4Free.scr
  • zDenka.scr
  • zXXX_BROWSER.exe

本文:

・W32/Yaha.x@MMはさまざまな本文を使用しますが、大部分はこれまでの亜種が使用した本文とほぼ同じです。以下の本文は、これまでの亜種が使用していません。

本文 1

Hello,
The attached product is send as a part of o ur official campaign for the popularity of our product.
You have been cho sen to try a free fully functional sample of our product.If you are satified then you can send it to your friends.
All you have to do is to install the software and register an account with us using the links provided in the sof tware. Then send this software to your friends using your account ID and for each person who registers with us through your account, we will pay you $1. 5.Once your account reaches the limit of $50, your payment will be send to y our registration address by check or draft.

Please note that the registration process is completely free which means by participating in this program you will only gain without loosing anything.

Best Regards,
Admin ,

本文 2

Klez.H is the most common world- wide spreading worm.It's very dangerous by corrupting your files.
Because of its very smart stealth and anti-anti-virus technic,most common AV software can't detect or clean it.
We developed this free immunity tool to defeat the malicious virus.
You only need to run this tool once,and then Klez will never come into your PC

本文 3

Hello,
Looking for some Hardcore mind boggling action ?
Install the attached browser software and browse across millions of paid hardcore sex sites for free.
Using the software you can safely and easily b rowse across most of the hardcore XXX paid sites across the internet for free. Using it you can also clean all traces of your web browsing from your computer.

Note:The attached browser software is made exclusivley for demo only. You can use the software for a limited time of 35 days after whic h you have to register it at our official website for its furthur use.

Regards,
Admin.

本文 4

Hello,
I just came across your email ID while searching in the Yahoo profiles.
Actually I want a true friend 4 life with whom I can share my everyt hing.
So if you are interested in being my friend 4 life then mail me.
If you wanna know about me, attached is my profile along with some of my pics. You can check and if you like it then do mail me.
I will be waiting for your mail.

Best Wishes,
Your Friend..

本文 5

<<<<<>>>>><<<<<>>>>><<<<<>>>>><<<<<>>>>><<<>>
This E-Mail is never sent unsolicited. If you receive this E-Mail then it is because you have subscribed to the official newsletter at the KOF ONLINE website.
King Of Fighters is one of the greatest action game ever made.
Now after t he mind boggling sucess of KOF 2001 SNK proudly presents to you KOF 2002 wi th 4 new charecters.

Even though we need no publicity for our product bu t this time we have decided to give away a fully functional trial versio n of KOF 2002. So check out the attached trial version of KOF 2002 and regis ter at our official website to get a free copy of KOF2002 original version

Best Regards,
Admin,KOF ONLINE..
<<<<<>>>>><<<<<>>>>><<<<<>>>>> <<<<<>>>>><<<<<>>>>><<<<<>>>>>

サービス拒否攻撃

・W32/Yaha.x@MMは、以下のサイトに対してサービス拒否攻撃を仕掛けます。

  • jamaat.org
  • klc.org.pk
  • pak.gov.pk
  • piac.com.pk
  • ummah.org.uk

TOPへ戻る

以下の症状が見られる場合、このウイルスに感染している可能性があります。

・上記のファイルとレジストリキーが存在します。

TOPへ戻る

感染方法

・W32/Yaha.x@MMが実行されると、ターゲットマシンに自身をインストールします。さまざまなプロセス(ウイルス対策、セキュリティ製品関連)を終了させます。

・自身をネットワーク共有にコピーします。

・この情報掲載時点のテストでは大量メール送信ルーチンを実行しませんでしたが、ワームの文字列を見ると、以下で発見されるすべての電子メールアドレスに自身を送信するようです。

  • Windows Address Book
  • MSN Messenger
  • .NET Messenger
  • Yahoo Pager
  • Files matching *.HT*

TOPへ戻る

駆除方法

■現行のエンジンとウイルス定義ファイルを使用して、検出・駆除して下さい。

Windows ME/XPでの駆除についての補足

TOPへ戻る