WORM_DOWNAD.KK

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\{Random file name}.dll

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

ワームは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• services.exe
• svchost.exe -k NetworkService

自動実行方法

ワームは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{Service Name}
ImagePath = "%SystemRoot%\system32\svchost.exe -k netsvcs"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{Service Name}\Parameters
ServiceDll = "{Malware path and file name}"

その他

ワームは、以下の不正なWebサイトにアクセスします。

• http://{psuedorandom domain}

ワームは、以下のタイムサーバにアクセスし、現在の日付を確認します。

• http://ask.com
• http://baidu.com
• http://facebook.com
• http://google.com
• http://imageshack.us
• http://rapidshare.com
• http://w3.org
• http://yahoo.com

ワームは、外部のIPアドレスを利用することで、Server サービスに存在する脆弱性を利用してインターネットを通じて拡散します。

「{Service name}」には、以下のリストからの2つの文字列を連結した文字列が利用されます。

• access
• agent
• App
• Audio
• auto
• DM
• ER
• Event
• help
• Ias
• Ir
• Lanman
• logon
• man
• mgmt
• mon
• Net
• Ntms
• prov
• Ras
• Remote
• Sec
• serv
• Server
• Service
• Srv
• srv
• SR
• Svc
• svc
• Tapi
• Trk
• W32
• win
• Wmdm
• Wmi
• wsc
• wuau
• xml

また、ワームは、以下のフォルダ内に自身のコピーを作成します。

• %Program Files%\Internet Explorer
• %Program Files%\Movie Maker
• %Program Files%\Windows Media Player
• %Program Files%\Windows NT