WORM_FOXHIEX.C

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Temp%\Registry\Registry.exe

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

ワームは、以下のフォルダを作成します。

• %User Temp%\Registry
• %User Profile%\My Documents\MSDCSC
• %User Profile%\Application Data\dclogs

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Registry = "%User Temp%\Registry\Registry.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
MicroUpdate = "%User Profile%\MSDCSC\msdcsc.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Windows Update = "%User Profile%\Application Data\WindowsUpdate.exe"

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
UserInit = "%System%\userinit.exe,%User Profile%\MSDCSC\msdcsc.exe"

(註：変更前の上記レジストリ値は、「%Windows%\system32\userinit.exe,」となります。)

他のシステム変更

ワームは、以下のファイルを改変します。

• %Application Data%\GDIPFONTCACHEV1.DAT

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

ワームは、以下のファイルを削除します。

• {malware path and file name}:zone.identifier
• %Windows%\Microsoft.NET\Framework\v2.0.50727\config\security.config.cch.268.268546
• %Windows%\Microsoft.NET\Framework\v2.0.50727\config\enterprisesec.config.cch.268.268562
• %User Profile%\v2.0.50727.42\security.config.cch.268.269093
• %Windows%\Microsoft.NET\Framework\v2.0.50727\config\security.config.cch.768.289718
• %Windows%\Microsoft.NET\Framework\v2.0.50727\config\enterprisesec.config.cch.768.289718
• %User Profile%\v2.0.50727.42\security.config.cch.768.290593
• %User Profile%\Application Data\Windows Update.exe
• %Windows%\Microsoft.NET\Framework\v2.0.50727\config\security.config.cch.2288.317890
• %Windows%\Microsoft.NET\Framework\v2.0.50727\config\enterprisesec.config.cch.2288.317906
• %User Profile%\v2.0.50727.42\security.config.cch.2288.318781
• %Windows%\Microsoft.NET\Framework\v2.0.50727\config\security.config.cch.2320.318406
• %Windows%\Microsoft.NET\Framework\v2.0.50727\config\enterprisesec.config.cch.2320.318406
• %User Profile%\v2.0.50727.42\security.config.cch.2320.319156
• %Windows%\Microsoft.NET\Framework\v2.0.50727\config\security.config.cch.2760.352921
• %Windows%\Microsoft.NET\Framework\v2.0.50727\config\enterprisesec.config.cch.2760.352921
• %User Profile%\v2.0.50727.42\security.config.cch.2760.354046
• %Windows%\Microsoft.NET\Framework\v2.0.50727\config\security.config.cch.2924.368968
• %Windows%\Microsoft.NET\Framework\v2.0.50727\config\enterprisesec.config.cch.2924.369109
• %User Profile%\v2.0.50727.42\security.config.cch.2924.369765

(註：%Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

ワームは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\DC3_FEXEC

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
ESENT\Process\SECURITY

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
ESENT\Process\SECURITY\
DEBUG

ワームは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
GDIPlus
FontCachePath = "%Application Data%"

(註：変更前の上記レジストリ値は、「%User Profile%\Local Settings\Application Data」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Eventlog\Application\
ESENT
EventMessageFile = "%System%\ESENT.dll"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Eventlog\Application\
ESENT
CategoryMessageFile = "%System%\ESENT.dll"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Eventlog\Application\
ESENT
CategoryCount = "1"

(註：変更前の上記レジストリ値は、「10」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Eventlog\Application\
ESENT
TypesSupported = "7"

(註：変更前の上記レジストリ値は、「7」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = "1"

(註：変更前の上記レジストリ値は、「2」となります。)

作成活動

ワームは、以下のファイルを作成します。

• %User Temp%\DEFENDER.EXE
• %User Temp%\SECURITY.EXE
• %User Temp%\SysInfo.txt
• %User Profile%\Application Data\pid.txt
• %User Profile%\Application Data\pidloc.txt
• %User Profile%\MSDCSC\msdcsc.exe
• %User Profile%\Application Data\Windows Update.exe
• %User Profile%\Application Data\WindowsUpdate.exe

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

このウイルス情報は、自動解析システムにより作成されました。