VBS_EMOTI

「EMOTI」は、ルートキットをインストールするために利用されるマルウェアのファミリです。また、マルウェアは、ユーザのコンピュータ上のすべてのリムーバブルドライブに拡散します。マルウェアはインターネットを介してダウンロードされます。このマルウェアの注意すべき不正活動として、"explorer.exe"および"svchost.exe"へのコードの挿入があります。

インストール

ワームは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Program Files%\Microsoft Common\svchost.exe
• %Program Files%\Movie Maker\wmv2avi.exe
• %System%\logon.exe
• %User Temp%\{malware name}.exe
• %Windows%\mssrvc\svchost.exe
• {drive letter}:\system.exe

(註：%Program Files%フォルダは、Windows 2000、Server 2003、XP (32ビット)、通常 Vista (32ビット) および 7 (32ビット) の場合、通常 "C:\Program Files"、Windows XP (64ビット)、Vista (64ビット) および 7 (64ビット) の場合、通常 "C:\Program Files (x86)" です。. %System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)

ワームは、以下のファイルを作成します。

• %User Temp%\000_c.exe
• %User Temp%\7upx.exe
• %User Temp%\ader.exe
• %User Temp%\mxs.exe
• %User Temp%\rdl{random1}.tmp
• {drive letter}:\autorun.inf

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

ワームは、以下のフォルダを作成します。

• %Windows%\mssrvc
• %Program Files%\Microsoft Common

(註：%Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。. %Program Files%フォルダは、Windows 2000、Server 2003、XP (32ビット)、通常 Vista (32ビット) および 7 (32ビット) の場合、通常 "C:\Program Files"、Windows XP (64ビット)、Vista (64ビット) および 7 (64ビット) の場合、通常 "C:\Program Files (x86)" です。)

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
svchost = "%Windows%\mssrvc\svchost.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
svchost = "{malware path}\{malware name}.exe"

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit = "%System%\userinit.exe, %User Temp%\{malware name}.exe"

(註：変更前の上記レジストリ値は、「%System%\userinit.exe,」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Shell = "Explorer.exe logon.exe"

(註：変更前の上記レジストリ値は、「Explorer.exe」となります。)

ワームは、特定のアプリケーションの起動時に自身が自動実行されるよう、「Image File Execution Options」キーを用いて以下のレジストリキーおよびレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
explorer.exe
Debugger = "%Program Files%\Movie Maker\wmv2avi.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
explorer.exe
Debugger = "%Program Files%\Microsoft Common\svchost.exe"

他のシステム変更

ワームは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
HideFileExt = "2"

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = "2"

(註：変更前の上記レジストリ値は、「1」となります。)

ワームは、以下のレジストリ値を作成し、Windowsのファイアウォールを回避します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%Program Files%\Microsoft Common\svchost.exe = "%Program Files%\Microsoft Common\svchost.exe:*:Enabled:EMOTIONS_EXECUTABLE"

ワームは、以下のレジストリキーを削除します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot

その他

ワームは、以下の不正なWebサイトにアクセスします。

• {BLOCKED}eavy.cn
• http://{BLOCKED}isa.com/lde/ld.php?v=1&rs={GUID}&n={number}&uid=1
• http://{BLOCKED}nss.com/lde/ld.php?v=1&rs={GUID}&n={number}&uid=1
• http://{BLOCKED}rfriends.com/load/get.php?v=1&rs={guid}&n=1&uid=1
• http://{BLOCKED}son.com/lde/ld.php?v=1&rs={GUID}&n={number}&uid=1
• {BLOCKED}x.ru
• {BLOCKED}det-zae.biz
• {BLOCKED}x.ru