W32.Zotob.G

1. "windrg32" というミューテックスを作成することによって、侵入先のコンピュータでワームのコピーが 1 つのみ実行されるようにします。
   
   
2. 次のファイルとして自分自身をコピーします。
   
   %System%\usrnt\windrg32.exe
   
   

   ---

   注意: %System% は可変でシステムフォルダを参照します。標準では、このフォルダは C:\Windows\System (Windows 95/98/Me)、C:\Winnt\System32 (Windows NT/2000)、または C:\Windows\System32 (Windows XP) です。

   ---

   
   
3. オリジナルのワームのファイルを削除します。
   
   
4. 次の値を
   
   "WinDrg32" = "%System%\usernt\windrg32.exe"
   
   次のレジストリサブキーに追加することによって、
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   
   Windows の起動時に必ずワームが実行されるように設定します。
   
   
5. ネットワークに接続されていないことを検出した場合、コンピュータの IP アドレスがルート可能でない場合、あるいは www.google.com、www.ebay.com、または www.yahoo.com を参照できない場合、ワームは正確に動作できません。
   
   
6. TCP ポート 6667 で次の IRC サーバのいずれかに接続して、チャネル #xaeti に参加することにより、バックドアを開こうとします。
   
   
   • spookestreet.afraid.org
   • spookystreet.udp-flood.com
   • sppokystreet.m00p.org
   • spookystreet.afraid.org
     
     

     ---

     注意: この情報を書いている時点では、これらのサーバは利用できませんでした。

     ---

     
     
7. リモートの攻撃者が侵入先のコンピュータで次のコマンドを実行できるようにします。
   
   
   • ファイルをダウンロードして実行する
   • www.google.com にクエリを送信する
   • プロセスを停止する
   • ランダムな IRC メッセージを送信する
   • [http://]www.mailinator.com/[削除済み] で電子メールをチェックする
   • [http://]tinyurl.com/[削除済み] に URL を提出する
     
     
8. TCP ポート 1171 にTFTP サーバを開きます。
   
   
9. 次のプロセスを停止しようとします。
   
   
   • CxtPls.exe
   • EbatesMoeMoneyMaker*.exe
   • CMESys.exe
   • qttask.exe
   • realsched.exe
   • ViewMgr.exe
   • NHUpdater.exe
     
     
10. 次のレジストリ値を
    
    "FunWebProducts"
    "MyWebSearch"
    "MyWay"
    "WeatherOnTray"
    "Hotbar"
    "sais"
    "msbb"
    "saie"
    "180ax"
    "lgbibsn"
    "tov"
    "180"
    "WinTools"
    "IBIS TB"
    "TBPS"
    "Toolbar"
    "Apropos"
    "NavExcel"
    "ViewMgr"
    "Viewpoint"
    "TkBellExe"
    "Real"
    "QuickTime Task"
    "QuickTime"
    "CMESys"
    "Gator"
    "Trickler"
    "GatorDownloader"
    "eZmmod"
    "eZula"
    "EbatesMoeMoneyMaker"
    "Ebates"
    "AutoUpdater"
    
    次のサブキーから削除します。
    
    HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Run
    HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\RunOnce
    
    
11. 次のファイルを削除します。また次のフォルダの中身を削除します。
    
    
    • %ProgramFiles%\FunWebProducts
    • %ProgramFiles%\FunWebProducts\*.exe
    • %ProgramFiles%\MyWebSearch
    • %ProgramFiles%\MyWebSearch\*.exe
    • %ProgramFiles%\MyWay
    • %ProgramFiles%\MyWay\*.exe
    • %ProgramFiles%\Hotbar
    • %ProgramFiles%\Hotbar\*.exe
    • %ProgramFiles%\180Solutions
    • %ProgramFiles%\180Solutions\*.exe
    • %ProgramFiles%\Common Files\WinTools
    • %ProgramFiles%\Common Files\WinTools\*.exe
    • %ProgramFiles%\Toolbar
    • %ProgramFiles%\Toolbar\*.exe
    • %ProgramFiles%\CxtPls
    • %ProgramFiles%\NavExcel
    • %ProgramFiles%\Common Files\GMT
    • %ProgramFiles%\Common Files\GMT\GMT.exe
    • %ProgramFiles%\Common Files\CMEII
    • %ProgramFiles%\eZula
    • %ProgramFiles%\eZula\mmod.exe
    • %ProgramFiles%\EbatesMoeMoneyMaker
    • %ProgramFiles%\AutoUpdate
    • %ProgramFiles%\AutoUpdate\AutoUpdate.exe
      
      
12. ランダムな IP アドレスを生成し、TCP ポート 445 を使用して Microsoft Windows プラグアンドプレイのバッファオーバーフローの脆弱性 (マイクロソフトセキュリティ情報 MS05-039 参照) を悪用しようとします。
    
    
13. ターゲットのコンピュータにファイルを送信します。 このファイルには侵入先のコンピュータからワームのコピーをダウンロードする TFTP スクリプトが含まれています。
    
    
14. このファイルを run[数字].exe としてリモートのコンピュータに保存してから、実行します。
    
    

    ---

    注意: [数字] は 0 から 9 のいくつかのランダムな番号を意味します。

    ---

    
    
15. ワームは悪用に成功した IP アドレスを自身が参加した IRC サーバに記録します。

推奨する感染予防策

シマンテックセキュリティレスポンスでは、すべてのユーザーと管理者の皆様に対し、基本的なオンラインセキュリティ対策として日常的に次のことを実行することを勧めています。

• 不必要なサービスをすべて無効化するか、あるいは削除する。 OSの多くは標準で、FTPクライアント、telnet、Webサーバーなどコンピュータの操作に必ずしも必要ではない付加的なサービスをインストールします。そのような付加的サービスは、攻撃の侵入経路として利用されます。そのような付加的なサービスを削除することによって、複合型リスクの攻撃経路をその分少なくすることができ、パッチ適用時にも更新が必要なサービス数を減らすことができます。
• 1 つ以上のネットワークサービスが複合型脅威によって悪用された場合、パッチを適用するまでの間、攻撃対象となったサービスを無効にするか、またはそのサービスへのアクセスを遮断する。
• 常に最新のパッチを適用しておく。特に、公開サービスをホストしていたり、HTTP、FTP、メール、DNS サービスなど、ファイアウォールを介してアクセス可能にしているコンピュータに対しては必ず最新パッチを適用しておくよう心がけてください。 . また、この記事、信頼できるセキュリティ情報、ベンダーの Web サイトのいずれかで言及されているセキュリティアップデートがある場合、そのセキュリティアップデートも適用してください。
• パスワードポリシーの徹底。 複雑なパスワードを設定しておけば、セキュリティが低下したコンピュータ上に保存しているパスワードファイルの解読を困難にすることができます。これにより、攻撃を受けた場合でも被害を防止あるいは最小限に抑えることができます。
• メールサーバーを、ウイルスが感染拡大を試みる際によく使用するファイル拡張子(.vbs、.bat、.exe、.scrなど)が付いた添付ファイルを含むメールをブロックあるいは削除するように設定しておく。
• ネットワーク接続しているコンピュータが感染した場合は、他のコンピュータへの感染拡大を防止するために、そのコンピュータをすみやかにネットワークから切り離す。被害を受けたコンピュータに対し被害状況の分析を行ない、信頼できるメディアを使って復旧を図る。
• 予期せぬメールが届いた場合には、添付ファイルを開かないように従業員を指導する。 また、インターネットからダウンロードしたソフトウェアについては、必ずウイルススキャンを実行し、問題がないことが確認できるまでは絶対に起動しない。 既知のセキュリティホールに対応するパッチが適用されていないWebブラウザーを使用している場合は、安全でないWebサイトにアクセスするだけで感染する可能性があることに留意する。