Worm.Win32.WUKILL.AA

ワームは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、すべてのドライブ内に自身のコピーを作成します。作成されたコピーのファイル名として、上記のドライブ上に存在するフォルダ名を使用します。 ワームは、Windows のアドレス帳（WABファイル）から特定のＥメールアドレスを収集します。

侵入方法

ワームは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Fonts%\{random}.com
• %Windows%\Document.exe

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
TempCom = %Fonts%\{random}.com

他のシステム変更

ワームは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
HideFileExt = "1"

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
CabinetState
FullPath = "1"

(註：変更前の上記レジストリ値は、「0」となります。)

ワームは、インストールの過程で以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Setup
KaV300XP = "{number}"

感染活動

ワームは、すべての物理ドライブおよびリムーバブルドライブ内に以下として自身のコピーを作成します。

• {drive letter}:\{string}
  
  • where {string} can be any of the following strings:
    • EXPLORER.exe
    • Explorer.EXE
    • WINDOWS.EXE
    • Windows.exe
    • Ghost.bat

ワームは、すべてのドライブ内に自身のコピーを作成します。作成されたコピーのファイル名として、上記のドライブ上に存在するフォルダ名を使用します。

ワームは、WABから特定のＥメールアドレスを収集します。

ワームは、以下のメッセージを送信します。

Subject:{non-English characters}
Message Body: {non-English characters}
Attachment: Document.exe

作成活動

ワームは、以下のファイルを作成します。

• {path}\folder.htt
  Notes: Path is where it drops copies of itself and use the names of the folders where its located (i.e. D:\sample\sample.exe)

その他

ワームは、以下のファイルの属性を隠しファイルおよびシステムファイル属性に設定します。

• {path}\folder.htt
  Notes: Path is where it drops copies of itself and use the names of the folders where its located (i.e. D:\sample\sample.exe)