ウィルスのその後 Part 2

7/5 15:34 トレンドマイクロ社より 英語情報公開の連絡

KDR_DUMADOR.AO の英語情報
日本語版は 7/7 午後に公開予定だそうです。

英語情報によると、SARS以外に以下の2箇所も書き換えられるとのこと。これは直してなかったなぁ。
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
load32 = "%System%\winldra.exe"
まぁ、こっちは起動時に実行される設定っぽく、実体が無くなっているので消さなくても問題がないだろうけど。...レジストリを検索したらありませんでした。ファイル名で検索した覚えがあるので、それで消したのかな？

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
AllowWindowReuse = "dword:00000000"
こいつは何の設定なんだろう？とりあえず、消しておけと書いてあるので消しておきました。

その後、1通着弾。何故か spam フィルターに引っかかっていました(^^;

怪しいファイルを削除する際、dll がファイルを使用中で削除できませんでした。なので、拡張子を .dll_ へ変更し、その名前のフォルダを作成。駆除し損ねても、ウィルスが動けないようにしてマシンを再起動。再起動後 dll_ を削除してタスクマネージャーで怪しいファイルが動いていないか確認しました。
Unix なトロイだと ps コマンドを改竄したりするのは普通ですが、Win なトロイはそこまでいってないと思うので(^^;
最近の Unix な root kit だと、カーネルモジュールになっていてコマンドだけでなく、OS を乗っ取ってしまうらしいです。インストールCDから改変されていないコマンドを持ってきても、カーネル(OSの根幹)に寄生しているため、ps コマンドの目を眩ますぐらいお手の物とのこと。あなおそろしや。

新種ウィルスのその後

トレンドマイクロへ検体を提出したら、このような返信が帰ってきました。

7/1 03:58 ウィルス着弾
7/1 05:29頃 トレンドマイクロへ提出 (窓口を探すために1時間以上かかりました...)
7/4 20:28頃 返信

[問い合わせ内容]
ファイル解析結果につきまして

[回答]
ご提供いただいたファイルを解析し、「BKDR_DUMADOR.AO」としてパターンファイル2.713.00にて対応いたしました。

現在、ウイルス情報は作成中でございますので、少々お時間をいただけますでしょうか。公開準備が整いましたら、改めてご連絡差し上げます。

誠に恐れ入りますが、何卒よろしくお願い申し上げます。

ちなみに、職場の人に「ウィルスあげる」と、FD を渡したら実行してくれました(おぃ!!)strings で、大体何をするのか分かっていたので、bill.exe + 怪しそうなファイル 3つ、怪しそうなレジストリ (キーが「SARS」のもの)、hosts ファイルの復旧で治ったようです。strings って結構有効なんですねぇ(^^; その後、ウィルスは検知されていません。
Symantec はノートンアンチウィルスの検疫から送りましたが、いつもの事ながら「なしのつぶて」です。
検知するようになったから、まぁ良いのかな。

このウィルスは現在まで 3つ着弾しています。まぁ、パスワードのかかっている zip を開いてまでウィルスに罹る人はまず居ないでしょう。

またウィルス

ウィルスが来たので strings してみました。

************************************
Copyright (C) 2001, 2003 Radim Picha
http://www.ibxt.com
************************************
最近のウィルスは Copyright 入りなのか？
まぁ、コンパイラか何かの Copyright でしょうけども。

************************************
Version
[WebMoney ID list]
[Far Manager passwords]
[Total Commander ftp passwords]
[The Bat passwords]
\dvp.log
===FORMS LOG START===
===FORMS LOG END===
===KEYLOGGER DATA START===
===KEYLOGGER DATA END===
===CLIPBOARD LOG===
===CLIPBOARD LOG END===
Software\SARS
mailsended
*** Protected Storage Data ***
Protected storage not available
*** Protected Storage Data ends ***
[Protected Storage data already sended]
************************************
キーロガー付き & クリップボードの監視をするボットなんですね。

************************************
127.0.0.1 www.trendmicro.com
127.0.0.1 trendmicro.com
127.0.0.1 rads.mcafee.com
127.0.0.1 customer.symantec.com
127.0.0.1 liveupdate.symantec.com
127.0.0.1 us.mcafee.com
127.0.0.1 updates.symantec.com
127.0.0.1 update.symantec.com
127.0.0.1 www.nai.com
127.0.0.1 nai.com
127.0.0.1 secure.nai.com
127.0.0.1 dispatch.mcafee.com
127.0.0.1 download.mcafee.com
127.0.0.1 www.my-etrust.com
127.0.0.1 my-etrust.com
127.0.0.1 mast.mcafee.com
127.0.0.1 ca.com
127.0.0.1 www.ca.com
127.0.0.1 networkassociates.com
127.0.0.1 www.networkassociates.com
127.0.0.1 avp.com
127.0.0.1 www.kaspersky.com
127.0.0.1 www.avp.com
127.0.0.1 kaspersky.com
127.0.0.1 www.f-secure.com
127.0.0.1 f-secure.com
127.0.0.1 viruslist.com
127.0.0.1 www.viruslist.com
127.0.0.1 liveupdate.symantecliveupdate.com
127.0.0.1 mcafee.com
127.0.0.1 www.mcafee.com
127.0.0.1 sophos.com
127.0.0.1 www.sophos.com
127.0.0.1 symantec.com
127.0.0.1 securityresponse.symantec.com
127.0.0.1 us.mcafee.com/root/
127.0.0.1 www.symantec.com
\DRIVERS\ETC\hosts
************************************
hosts ファイルの書き換えもしてくれるウィルスですか。
レジストリもいじりそうでした。

Software\Microsoft\Internet Account Manager\Accounts\00000000

http://72.29.74.63/~jamesfar/script/logger.php
ってのもありましたが、何も表示されませんねぇ。(サーバーは生きてます)

http://www.virustotal.com/ によると、パスワード付きの zip ファイルでは
検知できませんでしたが、解凍して与えたところ、こんな感じ。
This is a report processed by VirusTotal on 06/30/2005 at 21:21:50 (CET) after scanning the file "bill.exe" file.

Antivirus Version Update Result
AntiVir 6.31.0.7 06.30.2005 BDS/Dumador.CY.DLL2
Avira 6.31.0.7 06.30.2005 BDS/Dumador.CY.DLL2
BitDefender 7.0 06.30.2005 Dropped:Backdoor.Dumador.CY
ClamAV devel-20050501 06.30.2005 Trojan.Dumador-31
DrWeb 4.32b 06.30.2005 no virus found
eTrust-Iris 7.1.194.0 06.29.2005 no virus found
eTrust-Vet 11.9.1.0 06.30.2005 no virus found
Fortinet 2.36.0.0 06.30.2005 W32/Dumador.CY-bdr
Ikarus 2.32 06.30.2005 no virus found
Kaspersky 4.0.2.24 06.30.2005 Backdoor.Win32.Dumador.cy
McAfee 4525 06.30.2005 BackDoor-CCT.gen
NOD32v2 1.1158 06.29.2005 a variant of Win32/Dumador
Norman 5.70.10 06.30.2005 W32/Malware
Panda 8.02.00 06.30.2005 Suspect File
Sybari 7.5.1314 06.30.2005 Troj/Dumaru-G
Symantec 8.0 06.30.2005 no virus found
TheHacker 5.8.2.063 06.30.2005 no virus found
VBA32 3.10.4 06.30.2005 suspected of Backdoor.Win32.Dumador.1