木曜日, 2月 02, 2012

【マルウェア警告】#OCJP-006: autovolam.org, dl.volamviet.vn（49.212.32.185）のサーバにベトナム経由キーロガー・マルウェアを発見しました！ 


■下記のサイト↓
dl.volamviet.vn / 49.212.32.185
autovolam.org / 49.212.32.185　【追加】

■下記のダウンロードURL/ファイル↓
hxxp://dl.volamviet.vn/VAutoF2.0.13.zip
http://autovolam.org/dl.php?id=69F6BC8&file=VAutoPKF1.0.14.zip 【追加】
http://autovolam.org/dl.php?id=69F6BCA&file=LCTool3.3.6.1.zip　【追加】
http://autovolam.org/Downloads/VAutoPKF1.0.14.zip　【追加】
http://autovolam.org/Downloads/LCTool3.3.6.1.zip 　【追加】


証拠↓

--17:15:07--  hxxp://dl.volamviet.vn/VAutoF2.0.13.zip
           => `VAutoF2.0.13.zip'
Resolving dl.volamviet.vn... 49.212.32.185
Connecting to dl.volamviet.vn|49.212.32.185|:80... connected.
HTTP request sent, awaiting response... 200 OK
Length: 3,006,904 (2.9M) [application/zip]
100%[====================================>] 3,006,904    826.20K/s    ETA 00:00
17:15:10 (829.42 KB/s) - `VAutoF2.0.13.zip' saved [3006904/3006904]

Sun Feb 19 00:04:37 JST 2012の追加情報↓

--23:57:28--  hxxp://autovolam.org/Downloads/VAutoPKF1.0.14.zip
           => `VAutoPKF1.0.14.zip'
Resolving autovolam.org... 49.212.32.185
Connecting to autovolam.org|49.212.32.185|:80... connected.
hxxp request sent, awaiting response... 200 OK
Length: 2,998,787 (2.9M) [application/zip]
100%[====================================>] 2,998,787      1.34M/s
23:57:30 (1.33 MB/s) - `VAutoPKF1.0.14.zip' saved [2998787/2998787]

--23:57:40--  hxxp://autovolam.org/Downloads/LCTool3.3.6.1.zip
           => `LCTool3.3.6.1.zip'
Resolving autovolam.org... 49.212.32.185
Connecting to autovolam.org|49.212.32.185|:80... connected.
hxxp request sent, awaiting response... 200 OK
Length: 735,688 (718K) [application/zip]
100%[====================================>] 735,688        1.30M/s
23:57:41 (1.30 MB/s) - `LCTool3.3.6.1.zip' saved [735688/735688]

■下記のマルウェアを発見しました↓
マルウェア種類：トロイ・ドロッパー・キーロガー・スパイウェア
マルウェア名　：W32: Perfloger / PerfectKeylogger / PerfectKeyLogなど
マルウェア機能：キーロガー(Keylogger)、ドロッパー(Dropper)、スパイウェア(Spyware)
説明　　　　　：1. マルウェアファイルを感染されたPCに保存する(Dropper)、
                2. 感染されたPCの情報を記録して外にメールで情報を送る(Spyware)
                3. 押されたキーボードの情報を記録し保存する(Keylogger)
■オンラインスキャン結果↓
MD5:  7ee12270f65c5397431ea398dd2d4cca
File size:  2.9 MB ( 3,006,904 bytes )
File name:  VAutoF2.0.13.zip
File type:  ZIP
Detection ratio:  31 / 43
Analysis date:  2012-02-02 07:06:01 UTC

MD5:  1a835e32b1fef966e4924b2c6895099c
File size:  2.9 MB ( 3,026,829 bytes )
File name:  VAutoF2.0.13.exe
File type:  Win32 EXE
Detection ratio:  31 / 42
Analysis date:  2012-02-02 08:17:26 UTC 
----------
追加↓
----------
c1d55640e24fe40f9439b3af46d2a81bd7a95cff
File name:  LCTool3.3.6.1.zip
MD5:  523f355c4b7d07ea0f476ccfad4bb961
File size:  718.4 KB ( 735688 bytes )
File type:  ZIP
Detection ratio:  31 / 43
Analysis date:  2012-02-18 14:55:55 UTC ( 11 分 ago ) 

ff44201f1cf25199ca297befe1f09238b414f4fe
File name:  VAutoPKF1.0.14.zip
MD5:  e3e0d4f38a8b1d71b8ba52530fa1904a
File size:  2.9 MB ( 2998787 bytes )
File type:  ZIP
Detection ratio:  31 / 43
Analysis date:  2012-02-18 14:56:03 UTC   
■マルウェアのファイル（バイナリー調査）

■ファイル情報↓

-rwx------ 3,026,829 Jan 12 21:14 VAutoF2.0.13.exe* 1a835e32b1fef966e4924b2c6895099c
-rwx------ 3,006,904 Jan 12 23:14 VAutoF2.0.13.zip* 7ee12270f65c5397431ea398dd2d4cca

■アイコン↓


■調査結果 - 本サンプルのあやしい/注意ポイント↓

※VAutoF2.0.13.zipは只のzipファイルですので、VAutoF2.0.13.exeを調査しました↓
1. Compile Time: 2001-03-03 03:25:22　←おかしい
2. CRC情報が間違い、書いたのは0で実は3,040,427、packerのせいかも
3. packer情報: WinRAR 32-bit SFX Module
4. AntiDebugを発見↓
   0x40e154 CloseHandle
   0x40e1d8 LoadLibraryA
5. 下記のファイルやり取りは非常におかしい↓
   0x40e160 CreateFileA
   0x40e1a0 GetFileAttributesA
   0x40e1e0 MoveFileA
   0x40e1f0 SetFileAttributesA
6. 【クリック】←DLL情報を見たら結構沢山あやしいコールが発見
7. インストーラー機能を発見しました↓

8. さくっとオンラインスキャンしたら、マルウェアの結果が沢山出ました↓

--------------------------------------------------------------
Antivirus  Result  Update
--------------------------------------------------------------
AhnLab-V3  -  20120126
AntiVir  TR/Dropper.Gen  20120127
Antiy-AVL  -  20120126
Avast  Win32:Perflogger-CC [Tool]  20120127
AVG  PSW.Banker3.XBI  20120126
BitDefender  Gen:Trojan.Heur.MR.4sZ@aKGeaNbc  20120127
ByteHero  -  20120126
CAT-QuickHeal  -  20120127
ClamAV  Trojan.Perflog.arc  20120126
Commtouch  W32/Banker.ALWM  20120127
Comodo  TrojWare.Win32.Agent.~Wrar  20120126
Emsisoft  Trojan-Spy.Win32.Perfloger!IK  20120127
eSafe  -  20120126
eTrust-Vet  Win32/Perflogger.AH  20120127
F-Prot  W32/Banker.ALWM  20120126
F-Secure  Gen:Trojan.Heur.MR.4sZ@aKGeaNbc  20120127
Fortinet  W32/PatchedRarSfx.A  20120127
GData  Gen:Trojan.Heur.MR.4sZ@aKGeaNbc  20120127
Ikarus  Trojan-Spy.Win32.Perfloger  20120127
Jiangmin  -  20120125
K7AntiVirus  Spyware  20120126
Kaspersky  not-a-virus:Monitor.Win32.Perflogger.ca  20120127
McAfee  RapSFX packed app  20120126
McAfee-GW-Edition  RapSFX packed app  20120127
Microsoft  MonitoringTool:Win32/PerfectKeylogger  20120127
NOD32  Win32/Spy.PerfKey.NAA  20120127
Norman  W32/Banker.AEUD  20120126
nProtect  -  20120126
Panda  Application/PerfectKeyLog.AV  20120126
PCTools  Application.Perfect_Keylogger  20120127
Prevx  -  20120202
Rising  Trojan.Spy.PerfLoger.c  20120118
Sophos  Mal/Dropper-PQ  20120127
SUPERAntiSpyware  -  20120127
Symantec  WS.Reputation.1  20120127
TheHacker  -  20120126
TrendMicro  TROJ_STARTPG.C  20120127
TrendMicro-HouseCall  TROJ_STARTPG.C  20120127
VBA32  Win32.Spy.PerfKey  20120126
VIPRE  Trojan.Win32.PerfectKeylogger.AB (v)  20120127
ViRobot  -  20120127
VirusBuster  Trojan.PerfKeylogger!L1kwwpWPBCs  20120126
--------------------------------------------------------------
Detection ratio:  31 / 42
Analysis date:  2012-02-02 08:17:26 UTC 
--------------------------------------------------------------

■マルウェア行動分析調査結果↓

マルウェアを実行したら下記のポップアップが出ました↓


この順番でマルウェアが実行されます↓

VAutoF2.0.13.exe
        |
        +------> rinst.exe
                    |
                    +------> system.exe

※詳しくは下記のストーリーは下記となります↓


1. マルウェア(VAutoF2.0.13.exe)が下記のマルウェアファイルをドロップしました↓

%Temp% \RarSFX0
%Temp% \RarSFX0\VAutoF2.0.13.zip
%Temp% \RarSFX0\inst.dat
%Temp% \RarSFX0\pk.bin
%Temp% \RarSFX0\rinst.exe       
%Temp% \RarSFX0\system.exe  
%Temp% \RarSFX0\systemhk.dll
%Temp% \RarSFX0\systemwb.dll

2. マルウェア(VAutoF2.0.13.exe)が(rinst.exe)を実行します
Shell="C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\RarSFX0\rinst.exe"  

3. マルウェアファイル(rinst.exe)が実行されたら下記のファイルを削除されます↓

%Temp% \RarSFX0
%Temp% \RarSFX0\VAutoF2.0.13.zip
%Temp% \RarSFX0\inst.dat
%Temp% \RarSFX0\pk.bin
%Temp% \RarSFX0\rinst.exe
%Temp% \RarSFX0\system.exe
%Temp% \RarSFX0\systemhk.dll
%Temp% \RarSFX0\systemwb.dll

下記のregistryを変更された↓
HKLM\​Software\​Microsoft\​Windows\​CurrentVersion\​Explorer\​Shell Folders   Common Desktop   C:\​Documents and Settings\​All Users\​Desktop 
HKLM\​Software\​Microsoft\​Windows\​CurrentVersion\​Explorer\​Shell Folders   Common Documents   C:\​Documents and Settings\​All Users\​Documents 
HKU\​S-1-5-21-842925246-1425521274-308236825-500\​Software\​Microsoft\​Windows\​CurrentVersion\​Explorer\​MountPoints2\​{a1094da8-30a0-11dd-817b-806d6172696f}\​   BaseClass   Drive 
HKU\​S-1-5-21-842925246-1425521274-308236825-500\​Software\​Microsoft\​Windows\​CurrentVersion\​Explorer\​MountPoints2\​{a1094daa-30a0-11dd-817b-806d6172696f}\​   BaseClass   Drive 
HKU\​S-1-5-21-842925246-1425521274-308236825-500\​Software\​Microsoft\​Windows\​CurrentVersion\​Explorer\​Shell Folders   Desktop   C:\​Documents and Settings\​Administrator\​Desktop 
HKU\​S-1-5-21-842925246-1425521274-308236825-500\​Software\​Microsoft\​Windows\​CurrentVersion\​Explorer\​Shell Folders


4. 下記のファイルをWindowsシステムフォルダーへ保存↓

C:\WINDOWS\system32\inst.dat
C:\WINDOWS\system32\pk.bin
C:\WINDOWS\system32\rinst.exe
C:\WINDOWS\system32\system.exe
C:\WINDOWS\system32\systemhk.dll
C:\WINDOWS\system32\systemwb.dll
5. マルウェア(rinst.exe)がマルウェア(system.exe)を実行しました↓

Shell="C:\WINDOWS\system32\system.exe"
 
system.exeが本マルウェアのpayloadです、情報は↓
Filename:       system.exe 
MD5:            bae0fb25bcf05a5da7fde8dce759ee0d 
SHA-1:          bc74b07d14a63ce572755c70ceb796136d129e20 
File Size:      438,272 Bytes
6. 「system.exe」を実行されたらRegistryに下記の追加コードを発見しました↓
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
    system = "%System%\system.exe"
↑マルウェアは自動で起動されるように設定をされました。

system.exeの追加情報
ロードされたDLL↓

--------------------------------------------------------------------
Module Name                             Base Address  Size
--------------------------------------------------------------------
C:\​WINDOWS\​system32\​ntdll.dll        0x7C900000   0x000AF000 
C:\​WINDOWS\​system32\​kernel32.dll     0x7C800000   0x000F6000 
C:\​WINDOWS\​system32\​WININET.dll      0x771B0000   0x000AA000 
C:\​WINDOWS\​system32\​ADVAPI32.dll     0x77DD0000   0x0009B000 
C:\​WINDOWS\​system32\​RPCRT4.dll       0x77E70000   0x00092000 
C:\​WINDOWS\​system32\​Secur32.dll      0x77FE0000   0x00011000 
C:\​WINDOWS\​system32\​CRYPT32.dll      0x77A80000   0x00095000 
C:\​WINDOWS\​system32\​MSASN1.dll       0x77B20000   0x00012000 
C:\​WINDOWS\​system32\​msvcrt.dll       0x77C10000   0x00058000 
C:\​WINDOWS\​system32\​USER32.dll       0x7E410000   0x00091000 
C:\​WINDOWS\​system32\​GDI32.dll        0x77F10000   0x00049000 
C:\​WINDOWS\​system32\​OLEAUT32.dll     0x77120000   0x0008B000 
C:\​WINDOWS\​system32\​ole32.dll        0x774E0000   0x0013D000 
C:\​WINDOWS\​system32\​SHLWAPI.dll      0x77F60000   0x00076000 
C:\​WINDOWS\​system32\​MFC42.DLL        0x73DD0000   0x000FE000 
C:\​WINDOWS\​system32\​comdlg32.dll     0x763B0000   0x00049000 
C:\​WINDOWS\​WinSxS\..\​COMCTL32.dll    0x773D0000   0x00103000 
C:\​WINDOWS\​system32\​SHELL32.dll      0x7C9C0000   0x00817000 
C:\​WINDOWS\​system32\​urlmon.dll       0x7E1E0000   0x000A2000 
C:\​WINDOWS\​system32\​VERSION.dll      0x77C00000   0x00008000 
C:\​WINDOWS\​system32\​WSOCK32.dll      0x71AD0000   0x00009000 
C:\​WINDOWS\​system32\​WS2_32.dll       0x71AB0000   0x00017000 
C:\​WINDOWS\​system32\​WS2HELP.dll      0x71AA0000   0x00008000 
C:\​WINDOWS\​system32\​MSVCP60.dll      0x76080000   0x00065000 
system.exeのRUN DLL↓

--------------------------------------------------------------------
Module Name                             Base Address  Size
--------------------------------------------------------------------
C:\​WINDOWS\​system32\​SAMLIB.dll       0x71BF0000   0x00013000 
C:\​WINDOWS\​system32\​WLDAP32.dll      0x76F60000   0x0002C000 
C:\​WINDOWS\​system32\​NTMARTA.DLL      0x77690000   0x00021000 
↑system.exeが実行されたらずっと起動されている状況です。
パソコンのメモリの中に下記のDLLがずっと動いております↓


C:\WINDOWS\WindowsShell.Manifest <---Windowsバーションコール
C:\WINDOWS\system32\WSOCK32.dll  <---コミュニケーションソケット
C:\WINDOWS\system32\urlmon.dll   <---URLでネットワークを接続為
C:\WINDOWS\system32\SHELL32.dll　<---shell
C:\WINDOWS\system32\WININET.dll  <---ネットワークライブラリー
■ネットワーク動きに付いて

下記のSMTPトラフィックを発見しました。本マルウェアがSMTP機能が持っています。
外側にあるIP（TCP/25 IP:173.194.65.27）に接続の動きを発見しました。

パケットキャップチャーしたら下記の情報となります↓
00000000 | 4845 4C4F 2043 6F6D 7075 7465 724E 616D | HELO ComputerNam
00000010 | 650D 0A44 4154 410D 0A46 726F 6D3A 2067 | e..DATA..From: g
00000020 | 6961 636F 6265 3531 4067 6D61 696C 2E63 | iacobe51@gmail.c
00000030 | 6F6D 0D0A 546F 3A20 6769 6163 6F62 6535 | om..To: giacobe5
00000040 | 3140 676D 6169 6C2E 636F 6D0D 0A53 7562 | 1@gmail.com..Sub
00000050 | 6A65 6374 3A20 5065 7266 6563 7420 4B65 | ject: Perfect Ke
00000060 | 796C 6F67 6765 7220 7761 7320 696E 7374 | ylogger was inst
00000070 | 616C 6C65 6420 7375 6363 6573 7366 756C | alled successful
00000080 | 6C79 3A20 322F 322F 3230 3132 2C20 383A | ly: 2/2/2012, 8:
00000090 | 3433 2041 4D20 2843 4F4D 5055 5445 524E | 43 AM (COMPUTERN
000000A0 | 414D 455C 5573 6572 4E61 6D65 290D 0A44 | AME\UserName)..D
000000B0 | 6174 653A 2054 6875 2C20 3032 2046 6562 | ate: Thu, 02 Feb
000000C0 | 2032 3031 3220 3038 3A34 333A 3331 202D |  2012 08:43:31 -
000000D0 | 3038 3030 0D0A 582D 4D61 696C 6572 3A20 | 0800..X-Mailer:
000000E0 | 4D69 6372 6F73 6F66 7420 4F75 746C 6F6F | Microsoft Outloo
000000F0 | 6B20 4578 7072 6573 7320 362E 3030 2E32 | k Express 6.00.2
00000100 | 3830 302E 3134 3337 0D0A 436F 6E74 656E | 800.1437..Conten
00000110 | 742D 5479 7065 3A20 7465 7874 2F70 6C61 | t-Type: text/pla
00000120 | 696E 3B0D 0A09 6368 6172 7365 743D 6973 | in;...charset=is
00000130 | 6F2D 3838 3539 2D31 0D0A 0D0A 5065 7266 | o-8859-1....Perf
00000140 | 6563 7420 4B65 796C 6F67 6765 7220 7761 | ect Keylogger wa
00000150 | 7320 696E 7374 616C 6C65 6420 6F6E 2074 | s installed on t
00000160 | 6865 2063 6F6D 7075 7465 7220 434F 4D50 | he computer COMP
00000170 | 5554 4552 4E41 4D45 2C20 7769 7468 2049 | UTERNAME, with I
00000180 | 5020 6164 6472 6573 7320 3139 322E 3136 | P address 192.16
00000190 | 382E 3136 302E 3132 382C 2075 7365 7220 | 8.160.128, user
000001A0 | 5573 6572 4E61 6D65 2061 7420 322F 322F | UserName at 2/2/
000001B0 | 3230 3132 2C20 383A 3433 2041 4D2E 0D0A | 2012, 8:43 AM...
000001C0 | 2E0D 0A51 5549 540D 0A                  | ...QUIT..
↑giacobe51@gmail.comからgiacobe51@gmail.comの宛てにメールを送る動きを発見し
メールの文書の中にパソコン、IP情報とユーザ情報が書いてあります。
これでスパイウェアに関しての証明が出来ます。

■下記は行動分析調査の画像キャップチャー↓

実行した時のプロセス情報↓


マルウェア(VAutoF2.0.13.exe)のSFXを実行した時のポップアップ↓


ここへファイルを保存した時の証拠↓


マルウェア(system.exe)を実行された時のスナップショット↓


さらに変なツールバーがでてしまいました↓


この状態でパソコンをウイルススキャンをすると必ずマルウェア警告が出ます↓


■マルウェアソースの調査↓

インターネットで検索したら、下記のサイトのハッキングツールで確認しました↓

↑同じドメインで確認しました【volamviet.nm】
このサイトに沢山ハッキングツールを発見しました、例えば今回のキーロガーソフトですね。
ベトナムのサイトですが、日本のサーバを使っているので、困りますね…
■マルウェアダウンロードURLの調査↓

確認したら日本のサーバを使っていますね、下記証拠↓
IP ADDR:        49.212.32.185
inetnum:        49.212.32.0 - 49.212.32.255
netname:        SAKURA-NET
descr:          SAKURA Internet Inc.
country:        JP
admin-c:        KT749JP
tech-c:         KW419JP
remarks:        This information has been partially mirrored by APNIC from
remarks:        JPNIC. To obtain more specific information, please use the
remarks:        JPNIC WHOIS Gateway at
remarks:        http://www.nic.ad.jp/en/db/whois/en-gateway.html or
remarks:        whois.nic.ad.jp for WHOIS client. (The WHOIS client
remarks:        defaults to Japanese output, use the /e switch for English
remarks:        output)
changed:        apnic-ftp@nic.ad.jp 20110307
source:         JPNIC

Contact Information: [担当者情報]
a. [JPNICハンドル]              KW419JP
b. [氏名]                       鷲北 賢
c. [Last, First]                Washikita, Ken
d. [電子メイル]                 north-nic@sakura.ad.jp
f. [組織名]                     さくらインターネット株式会社
g. [Organization]               SAKURA Internet Inc.
k. [部署]                       技術部
l. [Division]                   Technical Department
m. [肩書]                       部長
n. [Title]                      Director
o. [電話番号]                   +81-6-6265-4830
p. [FAX番号]                    +81-6-6265-4834
y. [通知アドレス]               jpnic-staff@sakura.ad.jp
[最終更新]                      2007/05/23 12:11:07(JST)
                                db-staff@nic.ad.jp
ネットワークルーティング図↓

↑日本のIDCネットワークでマルウェアダウンロードURLを提供されているので、
今回のウェブサイト（dl.volamviet.vn）から早めにマルウェアを削除してほしいですね。

追加情報ですが、本日平成24年2月18日ですが、マルウェアの亜種が出ました。
さらに新しいドメイン(autovolam.org)で提供されております、IPは同じく49.212.32.185です。
早めに本サイトのマルウェアを削除して欲しいです。
念のために最新版のインターネットルーティング情報↓


■結論↓

1. VAutoF2.0.13.exe及びVAutoF2.0.13.zipはキーロガー・へっキングアプリケーションです。
2. VAutoF2.0.13.exeの動きを確認したら非常におかしいですので、間違いなくマルウェアです。
3. マルウェア対策ソフトで確認したら必ずマルウェアを検知されます↓

↑1回インストールしたら止める方法/アンインストール方法が無いので、良くないです。
4. 上記によって本件のマルウェアURLを削除して下さい。

----
ゼロデイ・ジャパン
http://0day.jp
マルウェア研究所
アドリアン・ヘンドリック
Sponsored by: 株式会社ケイエルジェイテック
Posted by unixfreaxjp at 5:52 午後

2 件のコメント:

  1. unixfreaxjp2012年2月2日 23:03:00 JST

    インターネトで検索したら本マルウェアのリファレンスが沢山出ましたので、下記は検索結果URLとなります↓

    http://bit.ly/xqo6ba

    以上

    返信削除
  2. unixfreaxjp2012年2月3日 1:35:00 JST

    In the current sample, this keylogger program was design to be executed in malicious way.
    Just a click of the zip file and you will get the "system.exe" malware running in your system.
    Please noted that upon installation sucessed the SMTP traffic contains of PC's info/IP Address and User's info is sent to the email "giacobe51@gmail.com" as per SMTP traffic below. Hereby, tt is a keylogger, spyware, trojan dropper, no doubt.

    00000000 | 4845 4C4F 2043 6F6D 7075 7465 724E 616D | HELO ComputerNam
    00000010 | 650D 0A44 4154 410D 0A46 726F 6D3A 2067 | e..DATA..From: g
    00000020 | 6961 636F 6265 3531 4067 6D61 696C 2E63 | iacobe51@gmail.c
    00000030 | 6F6D 0D0A 546F 3A20 6769 6163 6F62 6535 | om..To: giacobe5
    00000040 | 3140 676D 6169 6C2E 636F 6D0D 0A53 7562 | 1@gmail.com..Sub
    00000050 | 6A65 6374 3A20 5065 7266 6563 7420 4B65 | ject: Perfect Ke
    00000060 | 796C 6F67 6765 7220 7761 7320 696E 7374 | ylogger was inst
    00000070 | 616C 6C65 6420 7375 6363 6573 7366 756C | alled successful
    00000080 | 6C79 3A20 322F 322F 3230 3132 2C20 383A | ly: 2/2/2012, 8:
    00000090 | 3433 2041 4D20 2843 4F4D 5055 5445 524E | 43 AM (COMPUTERN
    000000A0 | 414D 455C 5573 6572 4E61 6D65 290D 0A44 | AME\UserName)..D
    000000B0 | 6174 653A 2054 6875 2C20 3032 2046 6562 | ate: Thu, 02 Feb
    000000C0 | 2032 3031 3220 3038 3A34 333A 3331 202D | 2012 08:43:31 -
    000000D0 | 3038 3030 0D0A 582D 4D61 696C 6572 3A20 | 0800..X-Mailer:
    000000E0 | 4D69 6372 6F73 6F66 7420 4F75 746C 6F6F | Microsoft Outloo
    000000F0 | 6B20 4578 7072 6573 7320 362E 3030 2E32 | k Express 6.00.2
    00000100 | 3830 302E 3134 3337 0D0A 436F 6E74 656E | 800.1437..Conten
    00000110 | 742D 5479 7065 3A20 7465 7874 2F70 6C61 | t-Type: text/pla
    00000120 | 696E 3B0D 0A09 6368 6172 7365 743D 6973 | in;...charset=is
    00000130 | 6F2D 3838 3539 2D31 0D0A 0D0A 5065 7266 | o-8859-1....Perf
    00000140 | 6563 7420 4B65 796C 6F67 6765 7220 7761 | ect Keylogger wa
    00000150 | 7320 696E 7374 616C 6C65 6420 6F6E 2074 | s installed on t
    00000160 | 6865 2063 6F6D 7075 7465 7220 434F 4D50 | he computer COMP
    00000170 | 5554 4552 4E41 4D45 2C20 7769 7468 2049 | UTERNAME, with I
    00000180 | 5020 6164 6472 6573 7320 3139 322E 3136 | P address 192.16
    00000190 | 382E 3136 302E 3132 382C 2075 7365 7220 | 8.160.128, user
    000001A0 | 5573 6572 4E61 6D65 2061 7420 322F 322F | UserName at 2/2/
    000001B0 | 3230 3132 2C20 383A 3433 2041 4D2E 0D0A | 2012, 8:43 AM...
    000001C0 | 2E0D 0A51 5549 540D 0A | ...QUIT..

    返信削除

登録: コメントの投稿 (Atom)