解析者: Karl Dominguez   
 プラットフォーム:

Windows 2000, XP, Server 2003

 危険度:
 ダメージ度:
 感染力:
 感染確認数:

  • マルウェアタイプ:
    ワーム

  • 破壊活動の有無:
    なし

  • 暗号化:
    はい

  • 感染報告の有無 :
    はい

  概要

感染経路 共有ネットワークフォルダを介した感染活動

ワームは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。 ワームは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

ワームは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

  詳細

ファイルサイズ 453,120 bytes
タイプ EXE
メモリ常駐 はい
発見日 2010年11月17日
ペイロード URLまたはIPアドレスに接続, システムセキュリティへの感染活動

侵入方法

ワームは、ネットワーク共有フォルダを経由してコンピュータに侵入します。

ワームは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

ワームは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

  • %System%\ipz2.exe

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

感染活動

ワームは、以下のユーザ名およびパスワードを用いて、パスワード保護された共有フォルダにアクセスします。

  • 00000
  • 12321
  • 12345
  • 54321
  • 111111
  • 121212
  • 123123
  • 123321
  • 123456
  • 123456
  • 654321
  • 1234321
  • 1234567
  • 11111111
  • 12341234
  • 12344321
  • 12345678
  • 12345678
  • 87654321
  • 123123123
  • 123454321
  • 123456789
  • 123456789
  • 987654321
  • 987654321
  • 1234554321
  • 1234567890
  • 1q2w3e
  • 1q2w3e4r
  • 1q2w3e4r5t
  • 1qa2ws3ed
  • 1qaz2wsx
  • aaaaaa
  • aaaaaaaa
  • abcdef
  • abcdefg
  • abcdefgh
  • abcdefghi
  • abcdefghij
  • Admin
  • admin
  • Administrator
  • administrator
  • africa
  • anime
  • april
  • attack
  • azerty
  • battle
  • battleship
  • bender
  • bicycle
  • billgates
  • blood
  • boobs
  • bottle
  • brent
  • brentcorrigan
  • bucks
  • caddy
  • calculator
  • cannon
  • canon
  • captain
  • cavern
  • chopper
  • cinema
  • coffee
  • computer
  • copypaste
  • copyright
  • creative
  • cyber
  • defence
  • dream
  • earth
  • elevate
  • embrace
  • facebook
  • fighter
  • flight
  • flower
  • freedom
  • general
  • gentoo
  • google
  • grant
  • grinder
  • guitar
  • handy
  • harry
  • harrypotter
  • health
  • helicopter
  • hiroshima
  • horror
  • human
  • inferno
  • internet
  • israel
  • kamikaze
  • leela
  • leeps
  • light
  • linux
  • login
  • lover
  • lucifer
  • major
  • master
  • memory
  • metall
  • microsoft
  • minigun
  • mondo
  • motor
  • mouse
  • mozilla
  • necromancer
  • nekomimi
  • neuron
  • nigger
  • norad
  • nothing
  • obvious
  • october
  • offence
  • passwd
  • password
  • paswd
  • pasword
  • people
  • pilot
  • pirate
  • police
  • potter
  • press
  • qazwsx
  • qazwsxedc
  • qqqqqq
  • qqqqqqqq
  • qweasd
  • qwerasdf
  • qwert
  • qwerty
  • qwertyu
  • qwertyui
  • qwertyuio
  • qwertyuiop
  • radmin
  • rastaman
  • right
  • robot
  • rocket
  • rotor
  • samael
  • satan
  • scada
  • share
  • shark
  • sharp
  • shinny
  • skate
  • skynet
  • skyscraper
  • solder
  • soldier
  • south
  • southpark
  • space
  • stack
  • starcraft
  • starwars
  • stereo
  • stick
  • summer
  • tolerance
  • ubuntu
  • universe
  • username
  • vader
  • venus
  • video
  • warcraft
  • warhammer
  • welcome
  • winter
  • witch
  • xerox
  • ytrewq
  • zeitgeist
  • zzzzzzzz

バックドア活動

ワームは、以下のポートを開き、リモートコマンドを待機します。

  • 689
A remote malicious user can connect through the opened port and execute arbitrary commands on the affected system.

ワームは、不正リモートユーザからの以下のコマンドを実行します。

  • Add/remove programs from firewall trust list
  • Upload/download files
  • Use Telnet and Radmin
  • Install/delete service
  • Modify DNS settings
  • Connect to peer-to-peer network

その他

ワームは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

  • http://www.myipnumber.com/
  • http://showip.net/
  • http://whois.domaintools.com/
  • http://ip-address.domaintools.com/
  • http://www.moanmyip.com/
  • http://www.123myip.co.uk/
  • http://www.dnsstuff.com/
  • http://www.ip-adress.com/
  • http://www.hostip.info/

  対応方法

対応検索エンジン: 8.900
初回 VSAPI パターンバージョン 7.628.09
初回 VSAPI パターンリリース日 2010年11月17日

手順 1

Windows XP および Windows Server 2003 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

「WORM_SPYBOT.BSA」で検出したファイル名を確認し、そのファイルを終了します。

[ 詳細 ]

  • 検出ファイルが、Windows のタスクマネージャまたは Process Explorer に表示されるものの、削除できない場合があります。この場合、コンピュータをセーフモードで再起動してください。
    セーフモードについては、こちらをご参照下さい。
  • 検出ファイルがタスクマネージャ上で表示されない場合、次の手順にお進みください。

手順 3

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「WORM_SPYBOT.BSA」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか？　アンケートにご協力ください