WORM_DOWNAD

2008年、「CONFICKER」ファミリの最初の亜種が、「MS08-067」Server サービスの脆弱性を利用して拡散していたことが確認されました。後続の亜種は、リムーバブルドライブおよびネットワーク共有フォルダ内に自身のコピーを作成することで、他のコンピュータに拡散します。

「CONFICKER」の注目すべき点として、これらの亜種のほとんどは、自身がアクセスする多数のURLを生成する機能を備えている点です。ワームは、独自のドメイン生成アルゴリズムを用いて作成した、ランダムなURLにアクセスし、感染コンピュータに他のファイルをダウンロードします。

感染コンピュータから「CONFICKER」を削除する際に困難な点として、ワームが、セキュリティおよびセキュリティソフトに関連するWebサイトへのアクセスをブロックする機能を備えている点が挙げられます。また、CONFICKERに感染したUSBデバイスが未感染のコンピュータに接続されている場合、デフォルトでオンになっているWindows OSの自動実行機能が、CONFICKERの感染および実行を容易にします。さらに、脆弱性が修正されないままのコンピュータが多数存在していたことも、CONFICKERの削除の障害となります。多くのユーザが脆弱性を修正しなかった理由は、海賊版ソフトウェアを使用していたり、古いWindows OSのみがサポートする古いプログラムを使用するために古いシステムを使い続けているなど様々です。

「CONFICKER」の感染により、後に新しいWindows OSでの更新によって対処されることとなった、多くのセキュリティ問題が明るみになりました。また、ワームにより、コンピュータの更新の必要性と、古いシステム（特にこれらのコンピュータが企業のネットワークに接続されている場合）の適切な管理の必要性の問題も脚光を浴びました。

インストール

ワームは、以下のファイルを作成します。

• {drive letter}:\autorun.inf

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{random file name}.dll
• %System%\{random file name}.dll
• %System%\{random number}.tmp
• %Program Files%\Internet Explorer\{random file name}.dll
• %Program Files%\Movie Maker\{random file name}.dll
• %User Temp%\{random file name}.dll
• {drive letter}:\Recycler\{SID}\{random characters}.{random}

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。. %Program Files%フォルダは、Windows 2000、Server 2003、XP (32ビット)、通常 Vista (32ビット) および 7 (32ビット) の場合、通常 "C:\Program Files"、Windows XP (64ビット)、Vista (64ビット) および 7 (64ビット) の場合、通常 "C:\Program Files (x86)" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

ワームは、以下のフォルダを作成します。

• {drive letter}:\Recycler\{SID}

自動実行方法

ワームは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\SvcHost\
{random characters}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random characters}
ImagePath = "%System Root%\system32\svchost.exe -k"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random characters}\Parameters
ServiceDll = "%System%\{malware file name}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random service name}
Type = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random service name}
Start = "3"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random service name}
ErrorControl = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random service name}
ImagePath = "%System%\{random number}.tmp"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random service name}
DisplayName = "{random service name}"

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random characters} = "rundll32.exe {malware path and file name}, Parameter"

他のシステム変更

ワームは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Applets
dl = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Applets
ds = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Applets
dl = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Applets
ds = "0"

ワームは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Tcpip\Parameters
TcpNumConnections = "00FFFFFE"

(註：変更前の上記レジストリ値は、「user-defined」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\BITS
Start = "4"

(註：変更前の上記レジストリ値は、「2」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wuauserv
Start = "4"

(註：変更前の上記レジストリ値は、「2」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder\Hidden\
SHOWALL
CheckedValue = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

ダウンロード活動

ワームは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{DGA IP address}/search?q=0

その他

ワームは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://www.getmyip.org
• http://www.whatsmyipaddress.com
• http://www.whatismyip.org
• http://checkip.dyndns.org

ワームは、以下のタイムサーバにアクセスし、現在の日付を確認します。

• myspace.com
• msn.com
• ebay.com
• cnn.com
• aol.com
• w3.org
• ask.com
• yahoo.com
• google.com
• baidu.com