Worm.Win32.PHORPIEX.AE

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、以下のファイルを作成します。

• %Windows%\4956060830304950
• %Windows%\4956060830304950\winsvcs.exe
• {Removable Drive letter}\.lnk
• {Removable Drive letter}\_\DeviceManager.exe
• {Removable Drive letter}\autorun.inf
• %User Temp%\{Random Number}.exe
• %Application Data%\winsvcs_.txt
• %User Temp%\Windows Archive Manager.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

ワームは、以下のプロセスを追加します。

• %Windows%\4956060830304950\winsvcs.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

他のシステム変更

ワームは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Microsoft Windows Services = %Windows%\4956060830304950\winsvcs.exe

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Microsoft Windows Services = %Windows%\4956060830304950\winsvcs.exe

その他

ワームは、以下の不正なWebサイトにアクセスします。

• {BLOCKED}psrhojifdij.ru
• {BLOCKED}.{BLOCKED}.{BLOCKED}7.48
• {BLOCKED}osugusghuhush.ru
• {BLOCKED}ooejesfiehfii.ru
• {BLOCKED}dhhaidhiehheg.ru
• {BLOCKED}eisijdingisgf.ru
• {BLOCKED}ivaiebifaibef.ru
• {BLOCKED}egfageigfzgei.ru
• {BLOCKED}obaoebuagoaoe.ru
• {BLOCKED}aehdoueofbaur.ru
• {BLOCKED}ednoaueouabbe.ru
• {BLOCKED}odouoeuueofua.ru
• {BLOCKED}fhusheoghuesdf.su
• {BLOCKED}rgirsoofuhohuf.su
• {BLOCKED}ihaehifhahaudf.su
• {BLOCKED}eisijdingisgff.su
• {BLOCKED}ptdkoodsokdkef.su
• {BLOCKED}ihabevbabifbaf.su
• {BLOCKED}ououaebufbeobf.su
• {BLOCKED}doauenodaeufbf.su
• {BLOCKED}baodebuoueofuf.su
• {BLOCKED}ueaennnaenuenf.su
• {BLOCKED}dwobfauogouhef.su
• {BLOCKED}siueiuiuushgfr.net
• {BLOCKED}ooejesfiehfiir.net
• {BLOCKED}dhhaidhiehhegr.net
• {BLOCKED}ueuefiuhiehgur.net
• {BLOCKED}iridnsinnsgirr.net
• {BLOCKED}heuabguaegubrr.net
• {BLOCKED}aifzgfaezgdzrr.net
• {BLOCKED}doaudbaebobgur.net
• {BLOCKED}sehohedohaeohr.net
• {BLOCKED}doauneuoebuaer.net
• {BLOCKED}bedogoaugaehyr.net
• {BLOCKED}fhusheoghuesdl.com
• {BLOCKED}siueiuiuushgfl.com
• {BLOCKED}jsuhuhaudhhedl.com
• {BLOCKED}ahdiauehihhrel.com
• {BLOCKED}hdiahiuediaugl.com
• {BLOCKED}ieghaughaoehol.com
• {BLOCKED}iridnsinnsgirl.com
• {BLOCKED}egfageigfzgeil.com
• {BLOCKED}eiohoueghoaurl.com
• {BLOCKED}doauenodaeufbl.com
• {BLOCKED}oaoounauubueul.com
• {BLOCKED}jaofheagoahdgl.com
• {BLOCKED}odounaoeongunl.com
• {BLOCKED}siueiuiuushgfx.biz
• {BLOCKED}ishiudhiusegfx.biz
• {BLOCKED}dhhaidhiehhegx.biz
• {BLOCKED}eisijdingisgfx.biz
• {BLOCKED}ivaiebifaibefx.biz
• {BLOCKED}shisjriijdijhx.biz
• {BLOCKED}ououaebufbeobx.biz
• {BLOCKED}doauenodaeufbx.biz
• {BLOCKED}aehdoueofbaurx.biz
• {BLOCKED}ednoaueouabbex.biz
• {BLOCKED}odouoeuueofuax.biz
• {BLOCKED}bedogoaugaehyx.biz
• {BLOCKED}fiiehfueghuhfu.info
• {BLOCKED}ishiudhiusegfu.info
• {BLOCKED}iedesubdibesdu.info
• {BLOCKED}ueuefiuhiehguu.info
• {BLOCKED}iridnsinnsgiru.info
• {BLOCKED}egfageigfzgeiu.info
• {BLOCKED}aifzgfaezgdzru.info
• {BLOCKED}nedonaodabobgu.info
• {BLOCKED}baodebuoueofuu.info
• {BLOCKED}jaofheagoahdgu.info
• {BLOCKED}usnodbeuabgrhu.info
• {BLOCKED}psrhojifdij.ru
• {BLOCKED}ebfaneifuaeif.ru
• {BLOCKED}hdiahiuediaug.ru
• {BLOCKED}ptdkoodsokdke.ru
• {BLOCKED}ihabevbabifba.ru
• {BLOCKED}ououaebufbeob.ru
• {BLOCKED}doauenodaeufb.ru
• {BLOCKED}baodebuoueofu.ru
• {BLOCKED}ueaennnaenuen.ru
• {BLOCKED}dwobfauogouhe.ru
• {BLOCKED}siueiuiuushgff.su