|
W32.Gammima.AG に感染したらしい。俺じゃないけど。
動作は…(Symantec参考)
１．%System%以下にkavo.exe kavo0.dllというファイルを2つ作成。そして全てのプロセスにkevo0.dllを挿入する。
%System%とはwindowsシステムフォルダのこと。NT系に入ってからはsystem32のことらしい。ちなみに%Systemroot%はc:\winntとかc:\windowsとかのこと。%TEMP%とはc:\window\tempとかc:\document and settings\<user name>\local settings\tempとかのこと。dllはdynamic link library の略。汎用性の高い機能をまとめたもので必要に応じて使われる。ずばり名前のまんま。
２．%temp%[randam name].dllにhacktool.rootkitのコピーを作る。
ここでhacktool.rootkitってのがsystemに侵入しやすくするためのプログラムとスクリプトらしい。危険性1って書いてあるけど普通に危ない気が。
３．各ドライブの直下にntdelect.comとファイルを作る。そしてそれをドライブへのアクセス時に実行させるためにautorun.inｆを作成する。
ちなみにntdelect.comでググったんよね。そのワームのautorun.infの中身は
[Autorun]
open=ntdelect.com
;shell\open=Open(&0)
shell\open\Command=ntdelect.com
shell\open\Default=1
;shell\explore=Manager(&X)
shell\explore\Command=ntdelect.com
autorunの作成のpdfを読んでないのでよくわかんないけどntdelect.comを実行しようとしてるのはすごくわかる。ちなみに.exe.com.batは確かwindowsの実行ファイル。
４．起動時に立ち上がるようにレジストリを変更し、その後よくわかんないレジストリの変更や、プロセスへの挿入の確認、ゲームの情報の入手(？)をしてhttpで攻撃者に送られるらしい。
結構いろんなことやってる。でもこれで感染度低だからね。そいつはavastで上手く駆除できなかったらしい。なんかautorun.infを削除してもすぐ復元されるとか。kavo.exeとかが復元してるのかな。あと他のサイトで頻繁に「ntdelect.com」がないって言われるとか書いてたけど、レジストリの問題っぽいね。ただ他の人に再インストールしてくださいって言われてたけど。でもそれが一番かもね。データのバックアップさえとれば。無料のオンラインストレージサービスとか場所もとらない。
もういっこ 海外のサイトにいってたらavastがほえたので即IEを消す。その後チェストからさっきひっかかったやつを抽出して除いてみたら典型的なブラクラ。mailtoが軽く100行くらい連続で、あとはじめて知ったけどconcon攻撃が、これはwin98固有の問題でc:\con\con\con ってやるとパソコンがクラッシュするらしい。これはconがDOSの時代からの予約デバイスだから起きるらしく、prn,nul,auxでも同様らしい。当方のwinXPでもファイルの名前をconにしようとすると名前を変えられない。windowsにとって特別な名前のようだ。
|
