W32.Gaobot.EUX

1. デバッガの存在をチェックし、発見すると自分自身を終了します。またこのワームは、VMware 仮想マシン上に実行されていることを検知した場合にも、自分自身を終了します。
   
   
2. 次のファイルとして自分自身をコピーします。
   %System%\netbtd.exe
   
   

   ---

   注意: %System% は可変でシステムフォルダを参照します。デフォルトでは、このフォルダは C:\Windows\System (Windows 95/98/Me)、C:\Winnt\System32 (Windows NT/2000)、または C:\Windows\System32 (Windows XP) です。

   ---

   
   
3. 自分自身を次のサービスとして登録します。
   
   サービス名: NetBTD
   表示名: NetBTD(ntbtd)
   イメージパス: %System%\netbtd.exe
   記述: Net bios background information transfer service.
   
   これにより、Windows が起動されるたびにこれが実行されるようにします。
   
   
4. 上記のサービスを作成するために、次のレジストリサブキーを作成します。
   
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBTD
   
   
5. 次のサブキーへ
   
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBTD
   
   次のレジストリエントリを追加します。
   
   "ImagePath" = "%Windir%\netbtd.exe"
   "DisplayName" = "NetBTD(ntbtd)"
   "Description" = "Net bios background information transfer service."
   
   
6. 次のレジストリサブキーを作成します。
   
   HKEY_LOCAL_MACHINE\SYSTEM\CURRENTCONTROLSET\ENUM\ROOT\LEGACY_NETBTD
   
   
7. 次のレジストリサブキー内の
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
   
   次のレジストリ値を変更します。
   
   "UpdatesDisableNotify" = "1"
   "AntiVirusDisableNotify" = "1"
   "FirewallDisableNotify" = "1"
   "AntiVirusOverride" = "1"
   "FirewallOverride" = "1"
   
   これにより、セキュリティの設定を低下させます。
   
   
8. 次のレジストリサブキー内の
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile
   
   次のレジストリ値を変更します。
   
   "EnableFirewall" = "0"
   
   これにより、セキュリティの設定を低下させます。
   
   
9. 次のレジストリサブキー内の
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\WindowsFirewall\StandardProfile
   
   次のレジストリ値を変更します。
   
   "EnableFirewall" = "0"
   
   これにより、セキュリティの設定を低下させます。
   
   
10. 次のレジストリサブキー内の
    
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update
    
    次のレジストリ値を変更します。
    
    "AUOptions" = "1"
    
    これにより、セキュリティの設定を低下させます。
    
    
11. 次のレジストリサブキー内で
    
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\TlntSvr
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RemoteRegistry
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Messenger
    
    次のレジストリ値を変更します。
    
    "Start" = "4"
    
    これにより、セキュリティの設定を低下させます。
    
    
12. 次のレジストリサブキー内の
    
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
    
    次のレジストリ値を変更します。
    
    "restrictanonymous" = "1"
    
    これにより、セキュリティの設定を低下させます。
    
    
13. 次のレジストリサブキー内の
    
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters
    
    次のレジストリ値を変更します。
    
    "AutoShareWks" = "0"
    "AutoShareServer" = "0"
    
    これにより、セキュリティの設定を低下させます。
    
    
14. 次のレジストリサブキー内の
    
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanworkstation\parameters
    
    次のレジストリ値を変更します。
    
    "AutoShareWks" = "0"
    "AutoShareServer" = "0"
    
    これにより、セキュリティの設定を低下させます。
    
    
15. 次のレジストリサブキー内の
    
    HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate
    
    次のレジストリ値を変更します。
    
    "DoNotAllowXPSP2" = "1"
    
    これにより、セキュリティの設定を低下させます。
    
    
16. 次のレジストリサブキー内の
    
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\OLE
    
    次のレジストリ値を変更します。
    
    "EnableDCOM" = "N"
    
    これにより、セキュリティの設定を低下させます。
    
    
17. また、ネットワーク共有を削除しようとします。
    
    
18. 次のサービスを停止します。
    
    
    • Tlntsvr
    • RemoteRegistry
    • Messenger
    • SharedAccess
    • wscsvc
      
      
19. 次の IRC サーバーへ接続することによってバックドアを開きます。
    
    frayedendsofsanity.be
    
    次の TCP ポート上で
    
    5599
    
    これにより、リモートの攻撃者が侵入先のコンピュータで次の操作を実行できるようにします。
    
    
    • ファイルをダウンロードする
    • 自分自身を更新する
    • オープンになっているポートをスキャンする
    • プロセスのリストアップおよび終了
    • Internet Explorer のスタートページに関する情報を取得する
    • CPU やメモリーなどのシステム情報を収集します。
    • レジストリ値に対して、読み取り、書き込み、および削除を行う
    • サービス拒否攻撃を実行する
    • DNS キャッシュおよび ARP キャッシュを消去する
      
      
20. ランダムに生成された IP アドレスのリストに基づいて、リモートマシンへ自分自身のコピーを試みます。
    このワームは、リモートマシンから入手したユーザーのリストに対して、ハードコード化されたパスワードのリストを使用します。
    これは、自分自身を次のいずれかへコピーします。
    
    
    • IPC$
    • Admin$\
    • Admin#\system32
    • c$\winnt\system32
    • c$\windows\system32
    • d$\winnt\system32
    • d$\windows\system32
      
      
      使用されるパスワードは、次のとおりです。
      
      
    • administrator
    • admin
    • root
    • 1111
    • 12
    • 123
    • 1234
    • 12345
    • 123456
    • 654321
    • !@#$
    • !@#$%
    • !@#$%^
    • !@#$%^&
    • asdf
    • asdfgh
    • server
      
      
21. AIM ディレクトリ内の info.backup および info.htm を変更することによって、AOL インスタントメッセンジャーを介して拡散する可能性があります。
    
    
22. 次の脆弱性を悪用することによって、コンピューターへ拡散します。
    TCP ポート 445 を使用する、Microsoft Windows ローカルセキュリティ認証サービスのリモートバッファオーバーフロー (Microsoft セキュリティ情報 MS04-011 参照)
    TCP ポート 135 および 445 を使用する、Microsoft Windows DCOM RPC インターフェースのバッファオーバーランの脆弱性 (Microsoft セキュリティ情報 MS03-026 参照)
    TCP ポート 135 および 445 を使用する、Workstation サービスバッファオーバーランの脆弱性 (Microsoft セキュリティ情報 MS03-049 参照)
    TCP ポート 135 および 445 を使用する、Microsoft Windows プラグアンドプレイのバッファオーバーフローの脆弱性 (Microsoft セキュリティ情報 MS05-039 参照)
    TCP ポート 135 および 445 を使用する、Microsoft Windows ASN.1 ライブラリビットストリング処理のバリアントのヒープ破損の脆弱性 (Microsoft セキュリティ情報 MS04-007 参照)

推奨する感染予防策

シマンテックセキュリティレスポンスでは、すべてのユーザーと管理者の皆様に対し、基本的なオンラインセキュリティ対策として日常的に次のことを実行することを勧めています。

• 不必要なサービスをすべて無効化するか、あるいは削除する。 OSの多くは標準で、FTPクライアント、telnet、Webサーバーなどコンピュータの操作に必ずしも必要ではない付加的なサービスをインストールします。そのような付加的サービスは、攻撃の侵入経路として利用されます。そのような付加的なサービスを削除することによって、複合型リスクの攻撃経路をその分少なくすることができ、パッチ適用時にも更新が必要なサービス数を減らすことができます。
• 1 つ以上のネットワークサービスが複合型脅威によって悪用された場合、パッチを適用するまでの間、攻撃対象となったサービスを無効にするか、またはそのサービスへのアクセスを遮断する。
• 常に最新のパッチを適用しておく。特に、公開サービスをホストしていたり、HTTP、FTP、メール、DNS サービスなど、ファイアウォールを介してアクセス可能にしているコンピュータに対しては必ず最新パッチを適用しておくよう心がけてください。 . また、この記事、信頼できるセキュリティ情報、ベンダーの Web サイトのいずれかで言及されているセキュリティアップデートがある場合、そのセキュリティアップデートも適用してください。
• パスワードポリシーの徹底。 複雑なパスワードを設定しておけば、セキュリティが低下したコンピュータ上に保存しているパスワードファイルの解読を困難にすることができます。これにより、攻撃を受けた場合でも被害を防止あるいは最小限に抑えることができます。
• メールサーバーを、ウイルスが感染拡大を試みる際によく使用するファイル拡張子(.vbs、.bat、.exe、.scrなど)が付いた添付ファイルを含むメールをブロックあるいは削除するように設定しておく。
• ネットワーク接続しているコンピュータが感染した場合は、他のコンピュータへの感染拡大を防止するために、そのコンピュータをすみやかにネットワークから切り離す。被害を受けたコンピュータに対し被害状況の分析を行ない、信頼できるメディアを使って復旧を図る。
• 予期せぬメールが届いた場合には、添付ファイルを開かないように従業員を指導する。 また、インターネットからダウンロードしたソフトウェアについては、必ずウイルススキャンを実行し、問題がないことが確認できるまでは絶対に起動しない。 既知のセキュリティホールに対応するパッチが適用されていないWebブラウザーを使用している場合は、安全でないWebサイトにアクセスするだけで感染する可能性があることに留意する。