日本に来たメールマルウェア情報viaスパムメール

本日の迷惑メールの中に危険なfakeAV(偽アンチウイルス)ツールが発見された
調べたら海外では本件のマルウェアが25日から始めたが日本に来るのは２日間が遅れた。
メールの形は下記のスナップショットとなります、

URLをクイックしてしまうと悪戯javascriptが動いて(何時ものdeobfusticatedの奴なので今回javascriptの部分の説明をしません)、裏でマルウェアサイトからマルウェアがダウンロードしてしまう、下記wgetでダウンロードして見たsナップショット↓

ダウンロードが出来たバイナリーは下記様なアイコンの物です↓

因みにファイルサイズ：318464 bytes、MD5は：15d893947ad3e3754e1874e9b0bd3773

気になって、色々ハックしました、先ずはバイナリーeditor↓

これでPE32フォアMS Windows (GUI) Intel 80386 32-bitの物が分かった、それで、バイナリーキャップチャーで動かしてみよう↓

↑この位システムのモジュールをコールされています
後は動かしながらハンドールとメモリーSTACK情報を見ていた↓
※ハンドール↓

※FPU↓


試してみてPerfx情報とクロスしたら、下記のファイルシステムには出た↓


これ以上は自分のパソコンには危険しすぐので、プロセスを止めて、周りレポートを確認した、数はvirustotalに送ったら下記の結果が出た（URLなので、クロックして下さい）↓

※今の時間ではSun Feb 27 17:52:10 JST 2011ですが下記のAVメーカが未だ検知で出来ていないみたい↓
Avast,F-Secure,Fprot,ClamAV,Commtouch,Ikarus,K-7, Panda, Nprotect, TrendMicro.
（↑ゲートウェイ製品が持っているメーカーがあります、注意して下さい）

追加情報、このマルウェアがWindowsシステムのポップアップでFakeウイルスアラートが出せます、ダウンロード仕組みはトロイDropper(ドロッパー)からマルウェアサイトに向いてダウンロードしてしまう仕組みです。
オリジンではUSAと南アフリカかと思われます。

---
ゼロデイ・ジャパン
http://0day.jp
マルウェア研究所
Tweet