W32.Zotob.D

1. ミューテックス "windrg322" を作成して、このワームのコピーが一度に 1 つのみ実行されるようにします。
   
   
2. %System%\wbev\windrg32.exe として自分自身をコピーします。
   
   

   ---

   注意: %System% は可変でシステムフォルダを参照します。標準では、このフォルダは C:\Windows\System (Windows 95/98/Me)、C:\Winnt\System32 (Windows NT/2000)、または C:\Windows\System32 (Windows XP) です。

   ---

   
   
3. 次のレジストリストリサブキーへ
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   
   次の値を追加します。
   
   "WinDrg32" = "%System%\wbev\windrg32.exe"
   
   これにより、Windows が起動するたびにこれが実行されるようにします。
   
   
4. ネットワーク接続の検出を試み、インターネットの接続性および IP アドレスのルートの利用可能性を検出するために次の URL への接続を試みます。
   
   
   • www.google.com
   • www.ebay.com
   • www.yahoo.com
     
     
5. TCP ポート 6667 で次の IRC サーバーのいずれかへ接続することによって、バックドアを開こうとします。
   
   
   • xaeti.m00p.org
   • db23a.hack-syndicate.org
   • spookystreet.m00p.org
   • spookystreet.udp-flood.com
     
     
6. リモートの攻撃者が標的のコンピューター上で次のことを含む各種の操作を実行するためのフルコントロールができるようにします。
   
   
   • ファイルをダウンロードして実行する
   • www.google.com へクエリーを行う
   • プロセスを停止させる
   • ユーザーパスワードに対して辞書攻撃を行う
     
     
7. TCP ポート 1117 を使用して FTP サーバを開きます。
   
   
8. 次のプロセスを停止しようとします。
   
   
   • pnpsrv.exe
   • winpnp.exe
   • csm.exe
   • botzor.exe
   • CxtPls.exe
   • NHUpdater.exe
   • ViewMgr.exe
   • realsched.exe
   • qttask.exe
   • CMESys.exe
   • EbatesMoeMoneyMaker*.exe
     
     
9. 次のサブキーから
   
   HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Run
   HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\RunOnce
   
   次のレジストリ値を削除します。
   
   "Windows PNP Server"
   "Windows PNP"
   "csm Win Updates"
   "MyWebSearch"
   "WINDOWS SYSTEM"
   "Zotob"
   "MyWay"
   "WeatherOnTray"
   "Apropos"
   "IBIS TB"
   "TBPS"
   "Toolbar"
   "Hotbar"
   "CMESys"
   "NavExcel"
   "ViewMgr"
   "eZula"
   "EbatesMoeMoneyMaker"
   "Ebates"
   "AutoUpdater"
   "Gator"
   "Trickler"
   "QuickTime"
   "GatorDownloader"
   "eZmmod"
   "Viewpoint"
   "TkBellExe"
   "180"
   "WinTools"
   "Real"
   "QuickTime Task"
   "sais"
   "msbb"
   "saie"
   "180ax"
   "lgbibsn"
   "tov"
   
   
   
10. 次のファイルおよびフォルダを検索して、そのファイルおよびフォルダのコンテンツを削除します。
    
    
    • %SYSTEM%\pnpsrv.exe
    • %SYSTEM%\winpnp.exe
    • %SYSTEM%\csm.exe
    • %SYSTEM%\botzor.exe
    • %PROGRAMFILES%\MyWebSearch
    • %PROGRAMFILES%\MyWebSearch\*.exe
    • %PROGRAMFILES%\Hotbar
    • %PROGRAMFILES%\Hotbar\*.exe
    • %PROGRAMFILES%\MyWay
    • %PROGRAMFILES%\MyWay\*.exe
    • %PROGRAMFILES%\180Solutions
    • %PROGRAMFILES%\180Solutions\*.exe
    • %PROGRAMFILES%\Common Files\WinTools
    • %PROGRAMFILES%\Common Files\WinTools\*.exe
    • %PROGRAMFILES%\Toolbar
    • %PROGRAMFILES%\Toolbar\*.exe
    • %PROGRAMFILES%\CxtPls
    • %PROGRAMFILES%\NavExcel
    • %PROGRAMFILES%\AutoUpdate
    • %PROGRAMFILES%\AutoUpdate\AutoUpdate.exe
    • %PROGRAMFILES%\EbatesMoeMoneyMaker
    • %PROGRAMFILES%\eZula
    • %PROGRAMFILES%\eZula\mmod.exe
    • %PROGRAMFILES%\Common Files\GMT
    • %PROGRAMFILES%\Common Files\GMT\GMT.exe
    • %PROGRAMFILES%\Common Files\CMEII
      
      

      ---

      注意: %ProgramFiles% は可変でプログラムファイルフォルダを参照します。標準では、このフォルダは C:\Program Files です。

      ---

      
      
11. ランダムな IP アドレスを生成し、TCP ポート 445 を使用して Microsoft Windows プラグアンドプレイのバッファオーバーフローの脆弱性 (マイクロソフトセキュリティ情報 MS05-039 参照) を悪用しようとします。
    
    
12. 成功する場合は、inst という名前のファイルを標的のマシン上に作成します。このファイルには、事前に開いた FTP サーバを使用して侵入先のコンピュータからワームのコピーをダウンロードする FTP スクリプトが含まれます。このファイルは run[数].exe として保存され、その後実行されます。このワームは、悪用に成功した IP を、参加した IRC チャネルにログ記録します。

推奨する感染予防策

シマンテックセキュリティレスポンスでは、すべてのユーザーと管理者の皆様に対し、基本的なオンラインセキュリティ対策として日常的に次のことを実行することを勧めています。

• 不必要なサービスをすべて無効化するか、あるいは削除する。 OSの多くは標準で、FTPクライアント、telnet、Webサーバーなどコンピュータの操作に必ずしも必要ではない付加的なサービスをインストールします。そのような付加的サービスは、攻撃の侵入経路として利用されます。そのような付加的なサービスを削除することによって、複合型リスクの攻撃経路をその分少なくすることができ、パッチ適用時にも更新が必要なサービス数を減らすことができます。
• 1 つ以上のネットワークサービスが複合型脅威によって悪用された場合、パッチを適用するまでの間、攻撃対象となったサービスを無効にするか、またはそのサービスへのアクセスを遮断する。
• 常に最新のパッチを適用しておく。特に、公開サービスをホストしていたり、HTTP、FTP、メール、DNS サービスなど、ファイアウォールを介してアクセス可能にしているコンピュータに対しては必ず最新パッチを適用しておくよう心がけてください。 . また、この記事、信頼できるセキュリティ情報、ベンダーの Web サイトのいずれかで言及されているセキュリティアップデートがある場合、そのセキュリティアップデートも適用してください。
• パスワードポリシーの徹底。 複雑なパスワードを設定しておけば、セキュリティが低下したコンピュータ上に保存しているパスワードファイルの解読を困難にすることができます。これにより、攻撃を受けた場合でも被害を防止あるいは最小限に抑えることができます。
• メールサーバーを、ウイルスが感染拡大を試みる際によく使用するファイル拡張子(.vbs、.bat、.exe、.scrなど)が付いた添付ファイルを含むメールをブロックあるいは削除するように設定しておく。
• ネットワーク接続しているコンピュータが感染した場合は、他のコンピュータへの感染拡大を防止するために、そのコンピュータをすみやかにネットワークから切り離す。被害を受けたコンピュータに対し被害状況の分析を行ない、信頼できるメディアを使って復旧を図る。
• 予期せぬメールが届いた場合には、添付ファイルを開かないように従業員を指導する。 また、インターネットからダウンロードしたソフトウェアについては、必ずウイルススキャンを実行し、問題がないことが確認できるまでは絶対に起動しない。 既知のセキュリティホールに対応するパッチが適用されていないWebブラウザーを使用している場合は、安全でないWebサイトにアクセスするだけで感染する可能性があることに留意する。