WORM_HOLAR.E

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Ioadqm = "{malware path and file name}.exe"

他のシステム変更

ワームは、以下のファイルを改変します。

• %Application Data%\Microsoft\Media Player\CurrentDatabase_59R.wmdb
• %User Profile%\Templates\excel.xls
• %User Profile%\Templates\excel4.xls
• %User Profile%\Templates\powerpnt.ppt
• %User Profile%\Templates\sndrec.wav
• %User Profile%\Templates\winword.doc
• %User Profile%\Templates\winword2.doc
• %Program Files%\Common Files\Microsoft Shared\Stationery\Clear Day Bkgrd.jpg
• %Program Files%\Common Files\Microsoft Shared\Stationery\Fiesta Bkgrd.jpg
• %Program Files%\Common Files\Microsoft Shared\Stationery\Glacier Bkgrd.jpg
• %Program Files%\Common Files\Microsoft Shared\Stationery\Leaves Bkgrd.jpg
• %Program Files%\Common Files\Microsoft Shared\Stationery\Maize Bkgrd.jpg
• %Program Files%\Common Files\Microsoft Shared\Stationery\Nature Bkgrd.jpg
• %Program Files%\Common Files\Microsoft Shared\Stationery\Pie Charts Bkgrd.jpg
• %Program Files%\Common Files\Microsoft Shared\Stationery\Sunflower Bkgrd.jpg
• %Program Files%\Messenger\newalert.wav
• %Program Files%\Messenger\newemail.wav
• %Program Files%\Messenger\online.wav
• %Program Files%\Messenger\type.wav
• %Program Files%\Movie Maker\Shared\Profiles\Blank.txt
• %Program Files%\Movie Maker\Shared\Empty.txt
• %Program Files%\Movie Maker\Shared\Sample1.jpg
• %Program Files%\Movie Maker\Shared\Sample2.jpg
• %Program Files%\NetMeeting\Blip.wav
• %Program Files%\NetMeeting\TestSnd.wav
• %Program Files%\Outlook Express\msoe.txt
• %Program Files%\Windows Media Player\npdrmv2.zip
• %Program Files%\Windows Media Player\npds.zip
• %Program Files%\Windows NT\Pinball\SOUND1.WAV
• %Program Files%\Windows NT\Pinball\SOUND104.WAV
• %Program Files%\Windows NT\Pinball\SOUND105.WAV
• %Program Files%\Windows NT\Pinball\SOUND108.WAV
• %Program Files%\Windows NT\Pinball\SOUND111.WAV
• %Program Files%\Windows NT\Pinball\SOUND112.WAV
• %Program Files%\Windows NT\Pinball\SOUND12.WAV
• %Program Files%\Windows NT\Pinball\SOUND13.WAV
• %Program Files%\Windows NT\Pinball\SOUND131.WAV
• %Program Files%\Windows NT\Pinball\SOUND136.WAV
• %Program Files%\Windows NT\Pinball\SOUND14.WAV
• %Program Files%\Windows NT\Pinball\SOUND16.WAV
• %Program Files%\Windows NT\Pinball\SOUND17.WAV
• %Program Files%\Windows NT\Pinball\SOUND18.WAV
• %Program Files%\Windows NT\Pinball\SOUND181.WAV
• %Program Files%\Windows NT\Pinball\SOUND19.WAV
• %Program Files%\Windows NT\Pinball\SOUND20.WAV
• %Program Files%\Windows NT\Pinball\SOUND21.WAV
• %Program Files%\Windows NT\Pinball\SOUND22.WAV
• %Program Files%\Windows NT\Pinball\SOUND24.WAV
• %Program Files%\Windows NT\Pinball\SOUND240.WAV
• %Program Files%\Windows NT\Pinball\SOUND243.WAV
• %Program Files%\Windows NT\Pinball\SOUND25.WAV
• %Program Files%\Windows NT\Pinball\SOUND26.WAV
• %Program Files%\Windows NT\Pinball\SOUND27.WAV
• %Program Files%\Windows NT\Pinball\SOUND28.WAV
• %Program Files%\Windows NT\Pinball\SOUND29.WAV
• %Program Files%\Windows NT\Pinball\SOUND3.WAV
• %Program Files%\Windows NT\Pinball\SOUND30.WAV
• %Program Files%\Windows NT\Pinball\SOUND34.WAV
• %Program Files%\Windows NT\Pinball\SOUND35.WAV
• %Program Files%\Windows NT\Pinball\SOUND36.WAV
• %Program Files%\Windows NT\Pinball\SOUND38.WAV
• %Program Files%\Windows NT\Pinball\SOUND39.WAV
• %Program Files%\Windows NT\Pinball\SOUND4.WAV
• %Program Files%\Windows NT\Pinball\SOUND42.WAV
• %Program Files%\Windows NT\Pinball\SOUND43.WAV
• %Program Files%\Windows NT\Pinball\SOUND45.WAV
• %Program Files%\Windows NT\Pinball\SOUND49.WAV
• %Program Files%\Windows NT\Pinball\SOUND49D.WAV
• %Program Files%\Windows NT\Pinball\SOUND5.WAV
• %Program Files%\Windows NT\Pinball\SOUND50.WAV
• %Program Files%\Windows NT\Pinball\SOUND528.WAV
• %Program Files%\Windows NT\Pinball\SOUND53.WAV
• %Program Files%\Windows NT\Pinball\SOUND54.WAV
• %Program Files%\Windows NT\Pinball\SOUND55.WAV
• %Program Files%\Windows NT\Pinball\SOUND560.WAV
• %Program Files%\Windows NT\Pinball\SOUND563.WAV
• %Program Files%\Windows NT\Pinball\SOUND57.WAV
• %Program Files%\Windows NT\Pinball\SOUND58.WAV
• %Program Files%\Windows NT\Pinball\SOUND6.WAV
• %Program Files%\Windows NT\Pinball\SOUND65.WAV
• %Program Files%\Windows NT\Pinball\SOUND68.WAV
• %Program Files%\Windows NT\Pinball\SOUND7.WAV
• %Program Files%\Windows NT\Pinball\SOUND713.WAV
• %Program Files%\Windows NT\Pinball\SOUND735.WAV
• %Program Files%\Windows NT\Pinball\SOUND8.WAV
• %Program Files%\Windows NT\Pinball\SOUND827.WAV
• %Program Files%\Windows NT\Pinball\SOUND9.WAV
• %Program Files%\Windows NT\Pinball\SOUND999.WAV

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。. %Program Files%フォルダは、Windows 2000、Server 2003、XP (32ビット)、通常 Vista (32ビット) および 7 (32ビット) の場合、通常 "C:\Program Files"、Windows XP (64ビット)、Vista (64ビット) および 7 (64ビット) の場合、通常 "C:\Program Files (x86)" です。)

ワームは、以下のレジストリキーを追加します。

HKEY_USERS\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Explorer\Advanced

ワームは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Hardware Profiles\0001\System
i = "0"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Hardware Profiles\0001\System
y = "0"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Hardware Profiles\0001\System
p = "0"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Hardware Profiles\0001\System
A-FLyByYahooMessanger = "0"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Hardware Profiles\0001\System
A-FLyByICQ = "1"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Hardware Profiles\0001\System
A-FLyByPalTalk = "8"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Hardware Profiles\0001\System
A-FLyByKaZaA = "?"

HKEY_CURRENT_USER
Software = "0"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Hardware Profiles\0001\System
j = "0"

HKEY_CURRENT_USER
Software = "1"

ワームは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = "0"

(註：変更前の上記レジストリ値は、「2」となります。)

作成活動

ワームは、以下のファイルを作成します。

• %System Root%\msg.htm
• %System%\regadd.reg
• %User Profile%\Sample Pictures\Blue hills.jpg
• %User Profile%\Sample Pictures\Sunset.jpg
• %User Profile%\Sample Pictures\Water lilies.jpg
• %User Profile%\Sample Pictures\Winter.jpg
• %User Profile%\Internet Explorer\brndlog.txt
• %User Temp%\dd_depcheck_NETFX_EXP_35.txt
• %User Temp%\dd_dotnetfx35error.txt
• %User Temp%\dd_dotnetfx35install.txt
• %User Temp%\dd_dotNetFx40_Full_x86_x64_decompression_log.txt
• %User Temp%\dd_MSXML6_MSI0686.txt
• %User Temp%\dd_netfx20MSI7F16.txt
• %User Temp%\dd_netfx20UI7F16.txt
• %User Temp%\dd_NET_Framework20_Setup06A7.txt
• %User Temp%\dd_NET_Framework30_Setup0775.txt
• %User Temp%\dd_NET_Framework35_MSI07B9.txt
• %User Temp%\dd_RGB9RAST_x86.msi0683.txt
• %User Temp%\dd_vcredistMSI3CAA.txt
• %User Temp%\dd_vcredistMSI7C21.txt
• %User Temp%\dd_vcredistUI3CAA.txt
• %User Temp%\dd_vcredistUI7C21.txt
• %User Temp%\dd_wcf_CA_smci_20111017_044900_062.txt
• %User Temp%\dd_wcf_retCA29BA.txt
• %User Temp%\dd_WIC.txt
• %User Temp%\dd_XPS.txt
• %User Temp%\Microsoft .NET Framework 4 Setup_20111016_234618578-MSI_netfx_Core_x86.msi.txt
• %User Temp%\Microsoft .NET Framework 4 Setup_20111016_234618578-MSI_netfx_Extended_x86.msi.txt
• %User Temp%\Microsoft Visual C++ 2010 x86 Redistributable Setup_20111020_000954642-MSI_vc_red.msi.txt
• %User Temp%\uxeventlog.txt
• %Program Files%\Adobe\Reader 10.0\Reader\IDTemplates\ENU\AdobeID.pdf
• %Program Files%\Adobe\Reader 10.0\Reader\IDTemplates\ENU\DefaultID.pdf
• %Program Files%\Adobe\Reader 10.0\Reader\plug_ins\Annotations\Stamps\ENU\Dynamic.pdf
• %Program Files%\Adobe\Reader 10.0\Reader\plug_ins\Annotations\Stamps\ENU\SignHere.pdf
• %Program Files%\Adobe\Reader 10.0\Reader\plug_ins\Annotations\Stamps\ENU\StandardBusiness.pdf
• %Program Files%\Adobe\Reader 10.0\Reader\plug_ins\Annotations\Stamps\Words.pdf
• %Program Files%\Adobe\Reader 10.0\Reader\PDFSigQFormalRep.pdf
• %Program Files%\Adobe\Reader 10.0\Resource\Linguistics\LanguageNames2\DisplayLanguageNames.en_CA.txt
• %Program Files%\Adobe\Reader 10.0\Resource\Linguistics\LanguageNames2\DisplayLanguageNames.en_GB.txt
• %Program Files%\Adobe\Reader 10.0\Resource\Linguistics\LanguageNames2\DisplayLanguageNames.en_GB_EURO.txt
• %Program Files%\Adobe\Reader 10.0\Resource\Linguistics\LanguageNames2\DisplayLanguageNames.en_US.txt
• %Program Files%\Adobe\Reader 10.0\Resource\Linguistics\LanguageNames2\DisplayLanguageNames.en_US_POSIX.txt
• %Program Files%\Adobe\Reader 10.0\Resource\TypeSupport\Unicode\Mappings\Adobe\symbol.txt
• %Program Files%\Adobe\Reader 10.0\Resource\TypeSupport\Unicode\Mappings\Adobe\zdingbat.txt
• %Program Files%\Adobe\Reader 10.0\Resource\TypeSupport\Unicode\Mappings\Mac\CENTEURO.TXT
• %Program Files%\Adobe\Reader 10.0\Resource\TypeSupport\Unicode\Mappings\Mac\CORPCHAR.TXT
• %Program Files%\Adobe\Reader 10.0\Resource\TypeSupport\Unicode\Mappings\Mac\CROATIAN.TXT
• %Program Files%\Adobe\Reader 10.0\Resource\TypeSupport\Unicode\Mappings\Mac\CYRILLIC.TXT
• %Program Files%\Adobe\Reader 10.0\Resource\TypeSupport\Unicode\Mappings\Mac\GREEK.TXT
• %Program Files%\Adobe\Reader 10.0\Resource\TypeSupport\Unicode\Mappings\Mac\ICELAND.TXT
• %Program Files%\Adobe\Reader 10.0\Resource\TypeSupport\Unicode\Mappings\Mac\ROMAN.TXT
• %Program Files%\Adobe\Reader 10.0\Resource\TypeSupport\Unicode\Mappings\Mac\ROMANIAN.TXT
• %Program Files%\Adobe\Reader 10.0\Resource\TypeSupport\Unicode\Mappings\Mac\SYMBOL.TXT
• %Program Files%\Adobe\Reader 10.0\Resource\TypeSupport\Unicode\Mappings\Mac\TURKISH.TXT
• %Program Files%\Adobe\Reader 10.0\Resource\TypeSupport\Unicode\Mappings\Mac\UKRAINE.TXT
• %Program Files%\Adobe\Reader 10.0\Resource\TypeSupport\Unicode\Mappings\win\CP1250.TXT
• %Program Files%\Adobe\Reader 10.0\Resource\TypeSupport\Unicode\Mappings\win\CP1251.TXT
• %Program Files%\Adobe\Reader 10.0\Resource\TypeSupport\Unicode\Mappings\win\CP1252.TXT
• %Program Files%\Adobe\Reader 10.0\Resource\TypeSupport\Unicode\Mappings\win\CP1253.TXT
• %Program Files%\Adobe\Reader 10.0\Resource\TypeSupport\Unicode\Mappings\win\CP1254.TXT
• %Program Files%\Adobe\Reader 10.0\Resource\TypeSupport\Unicode\Mappings\win\CP1257.TXT
• %Program Files%\Adobe\Reader 10.0\Resource\TypeSupport\Unicode\Mappings\win\CP1258.TXT
• %Program Files%\Adobe\Reader 10.0\Resource\ENUtxt.pdf
• %Program Files%\MSXML 6.0\EULA\License_MSXML6_ENU.txt
• %Windows%\$MSI31Uninstall_KB893803v2$\spuninst\spuninst.txt
• %Windows%\$NtUninstallWIC$\spuninst\spuninst.txt

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Program Files%フォルダは、Windows 2000、Server 2003、XP (32ビット)、通常 Vista (32ビット) および 7 (32ビット) の場合、通常 "C:\Program Files"、Windows XP (64ビット)、Vista (64ビット) および 7 (64ビット) の場合、通常 "C:\Program Files (x86)" です。. %Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)

このウイルス情報は、自動解析システムにより作成されました。