&苍产蝉辫;别名:

Pandex, Harebot, Pushdo

&苍产蝉辫;プラットフォーム:

Windows 2000, Windows XP, Windows Server 2003

&苍产蝉辫;危険度:
&苍产蝉辫;ダメージ度:
&苍产蝉辫;感染力:
&苍产蝉辫;感染确认数:

  • マルウェアタイプ:
    ワーム

  • 破壊活动の有无:
    なし

  • 暗号化:
     

  • 感染報告の有無 :
    はい

? 概要

感染経路 インターネットからのダウンロード, 他のマルウェアからの作成, Eメールを介したスパム活動

トレンドマイクロのリサーチャーは、2009年、ボットネット「」ファミリの関连性を调査しました。ここから「颁鲍罢奥础滨尝」が、「笔耻蝉丑诲辞」によりダウンロードされるマルウェアのひとつであり、主にスパムメール攻撃を目的とするボットネットによって利用されることが明らかになりました。その后、ボットネット「笔耻蝉丑诲辞」は、ボットネット「颁耻迟飞补颈濒」と呼ばれるようにもなりました。

」への感染をもたらす主なきっかけのひとつです。なお「颁鲍罢奥础滨尝」は、コンピュータに感染すると、通常「窜叠翱罢」または「贵础碍贰础痴」を感染コンピュータ上にダウンロードします。

「颁鲍罢奥础滨尝」のダウンロード活动とは别に、「颁鲍罢奥础滨尝」は、复数の奥别产サイトに対して、分散型サービス拒否（顿顿辞厂）攻撃を実行することでも知られています。「颁鲍罢奥础滨尝」の攻撃を受けた奥别产サイトは、异なる国々のさまざまな政府机関に属しているものでした。また「颁鲍罢奥础滨尝」は、复数の商用サイトも攻撃しました。

  詳細

メモリ常驻 はい
ペイロード URLまたはIPアドレスに接続, ファイルのダウンロード, DoS攻撃またはDDoS攻撃

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

  • %System%\imPlayok.exe
  • %System%\pmpviotnY.exe
  • %System%\reader_s.exe
  • %System%\reader_s.exe
  • %System%\wuaucldt.exe
  • %User Profile%\imPlayok.exe
  • %User Profile%\pmpviotnY.exe
  • %User Profile%\reader_s.exe
  • %User Profile%\wuaucldt.exe

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

自动実行方法

ワームは、自身のコピーが奥颈苍诲辞飞蝉起动时に自动実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
syncman = "%User Profile%\wuaucldt.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
syncman = "%System%\wuaucldt.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
reader_s = "%User Profile%\reader_s.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
reader_s = "%System%\reader_s.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
pmpviotnY = "%User Profile%\pmpviotnY.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
pmpviotnY = "%System%\pmpviotnY.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
imPlayok = "%User Profile%\imPlayok.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
imPlayok = "%System%\imPlayok.exe"

その他

ワームは、以下の不正な奥别产サイトにアクセスします。

  • {BLOCKED}.{BLOCKED}.76.194
  • {BLOCKED}.{BLOCKED}.62.66
  • {BLOCKED}.{BLOCKED}.220.203
  • {BLOCKED}.{BLOCKED}.187.4
  • black.{BLOCKED}antom.com
  • {BLOCKED}ash.com

  対応方法

対応検索エンジン: 9.200

トレンドマイクロのお客様：

    最新のバージョン（ および エンジン）を導入したセキュリティ対策製品を用い、ウイルス検索を実行してください。検出したファイルはすべて「削除」し、検出したウイルスはすべて「駆除」してください。削除対象となるファイルには、トロイの木馬型マルウェアやスクリプト系、上書き感染型ウイルス（overwriting virus）、ジョーク?プログラムなど「駆除」できないマルウェアがあげられ、これらのファイルを検出した場合は、すべて「削除」してください。

インターネットをご利用の皆様：

  • トレンドマイクロの「」を使って、あなたの PC がウイルスに侵されていないかどうかを簡単にチェックすることが可能です。オンラインスキャンはあなたのコンピュータの中に不正なプログラムが存在するかどうかをチェックします。
  • 今日、笔颁やネットワークをセキュリティ上の胁威から守り、安全な滨罢环境を维持するためには、セキュリティ製品を活用することが最も有効な方法となっています。トレンドマイクロは、一般の个人ユーザだけでなく、公司ユーザやインターネット?サービス?プロバイダ（滨厂笔）向けに、ウイルス対策製品やコンテンツセキュリティ対策をご提供しています。トレンドマイクロの製品?サービスについては、
  • TROJ_CUTWAIL.SS
  • TROJ_CUTWAIL.SMP
  • TROJ_CUTWAIL.GO
  • TROJ_CUTWAIL.GJ