WORM_DUMARU.AF
Microsoft : Worm:Win32/Dumaru.Y@mm ; Symantec : W32.Dumaru.Y@mm ;
Windows 2000, Windows XP, Windows Server 2003
マルウェアタイプ:
ワーム
破壊活動の有無:
なし
暗号化:
はい
感染報告の有無 :
はい
概要
ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
詳細
侵入方法
ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
ワームは、以下のファイルを作成します。
- %WINDOWS%\winload.log
ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。
- %User Startup%\dllxw.exe
- %WINDOWS%\system32\l32x.exe
- %WINDOWS%\system32\vxd32v.exe
(註: %User Startup%フォルダは、通常、Windows 98 および MEの場合、"C:\Windows\Profiles\<ユーザ名>\Start Menu\Programs\Startup" 、Windows NTの場合、"C:\WINNT\Profiles\<ユーザ名>\Start Menu\Programs\Startup"、Windows 2000、XP、Server 2003の場合、"C:\Documents and Settings\<ユーザ名>\Start Menu\Programs\Startup " です。)
自動実行方法
ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
load32 = %system%\l32x.exe
ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Shell = explorer.exe %system%\vxd32v.exe
(註:変更前の上記レジストリ値は、「Explorer.exe」となります。)
他のシステム変更
ワームは、以下のレジストリ値を作成し、Windowsのファイアウォールを回避します。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
{malware path and file name} = {malware path and file name}:*:Enabled:{malware file name