WORM_AMBLER.SMZ

ワームは、感染リムーバブルドライブを接続することにより、コンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、タスクマネージャやレジストリエディタ、フォルダオプションを無効にします。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ワームは、感染コンピュータや感染ユーザから特定の情報を収集します。 ワームは、ユーザのキー入力操作情報を記録し、情報を収集します。 ワームは、収集した情報をリモートサイトに送信します。

侵入方法

ワームは、感染リムーバブルドライブを接続することにより、コンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、以下の無害なファイルを作成します。

• %System%\iafzb
• %System%\klgd.bmp
• %System%\bdf.txt
• %System%\ccdf.txt
• %System%\eeef.txt
• %System%\fsc.txt
• %System%\ide.txt
• %System%\lbbf.txt
• %System%\lrg.txt
• %System%\xef.txt

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

ワームは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• jhhiuerf_vktyfd
• mbv
• jhhiuerf

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
hihg = "rundll32.exe vktyfd.dll,ID"

ワームは、以下のレジストリキーを追加し、自身をBrowser Helper Object（BHO）として登録します。これにより、Internet Explorer（IE）が起動するとワームが自動実行されます。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Browser Helper Objects\{94EA03C3-5988-4428-A5BF-5AB34C82C806}

他のシステム変更

ワームは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CLASSES_ROOT\CLSID\{94EA03C3-5988-4428-A5BF-5AB34C82C806}
{default} = "Internet Explorer Plugin"

HKEY_CLASSES_ROOT\CLSID\{94EA03C3-5988-4428-A5BF-5AB34C82C806}\
InprocServer32
{default} = "vktyfd.dll"

HKEY_LOCAL_MACHINE\SOFTWARE\Rapport
JGG = "{random characters}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{94EA03C3-5988-4428-A5BF-5AB34C82C806}
{default} = "Internet Explorer Plugin"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{94EA03C3-5988-4428-A5BF-5AB34C82C806}\InprocServer32
{default} = "vktyfd.dll"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Active Setup\Installed Components\{E3428D3F-3725-4FE1-986A-57EAE3E08123}
{default} = "IE development helper "

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Active Setup\Installed Components\{E3428D3F-3725-4FE1-986A-57EAE3E08123}
StubPath = "rundll32 vktyfd.dll,laspi"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Enable Browser Extensions = "yes"

ワームは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_CLASSES_ROOT\CLSID\{94EA03C3-5988-4428-A5BF-5AB34C82C806}

HKEY_LOCAL_MACHINE\SOFTWARE\Rapport

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{94EA03C3-5988-4428-A5BF-5AB34C82C806}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Active Setup\Installed Components\{E3428D3F-3725-4FE1-986A-57EAE3E08123}

ワームは、以下のレジストリ値を追加し、タスクマネージャやレジストリエディタ、フォルダオプションを無効にします。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableRegistryTools = "1"

感染活動

ワームは、すべてのリムーバブルドライブ内に以下のフォルダを作成します。

• RECYCLER

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• RECYCLER\recycld.exe

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[autorun]
open=RECYCLER\recycld.exe e
icon=%SystemRoot%\system32\SHELL32.dll,4
action=Open folder to view files
shell\open=Open
shell\open\command=RECYCLER\recycld.exe
shell\open\default=1

作成活動

ワームは、以下のファイルを作成します。

• %System%\vktyfd.dll - detected as TROJ_AMBLER.SG

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

情報漏えい

ワームは、以下の情報を収集します。

• MSN Explorer signup credentials
• IE password-protected sites
• IE auto-complete fields
• Auto-complete passwords
• Protected storage
• Outlook Express
• Cookies

ワームは、ユーザのキー入力操作情報を記録し、情報を収集します。

ワームは、収集した情報をリモートサイトに送信します。

情報収集

ワームは、以下のファイル内に収集した情報を保存します。

• %System%\bdf.txt
• %System%\ccdf.txt
• %System%\eeef.txt
• %System%\fsc.txt
• %System%\ide.txt
• %System%\lbbf.txt
• %System%\lrg.txt
• %System%\xef.txt

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)