WORM_CARRIER.AS

ワームは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。 ワームは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。 ワームは、正規アプリケーションのものとよく似たアイコンを使用し、ユーザがクリックするように促します。

ワームは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

ワームは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

ワームは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\Microsoft\winlogon.exe

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

ワームは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• GTaAxQEmC:a`/Vz

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
winlogon.exe = "%Application Data%\Microsoft\winlogon.exe"

感染活動

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• winlogon.exe

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[autorun]
shell=verb
open=winlogon.exe
action=Open folder to view files
shell\open=Open
icon=%SystemRoot%\system32\SHELL32.dll,4

ワームは、正規アプリケーションのものとよく似たアイコンを使用し、ユーザがクリックするように促します。

バックドア活動

ワームは、以下のポートを開き、リモートコマンドを待機します。

• TCP port 3174

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• Downloads and executes files
• Updates itself
• Launches DDoS attacks (SYN Flood or UDP Flood)
• Stops and uninstalls itself
• Terminates processes
• Sends application privileges and system uptime
• Displays a message box
• Steals Mozilla Firefox password details
• Sends system related information
• Reports which USB infected drives were infected
• Steals Mozilla Firefox saved user names and passwords

ワームは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}9.{BLOCKED}5.19.117