WORM_IMAUT.GQ

ワームは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。 ワームは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

ワームは、リムーバブルドライブ内に自身のコピーを作成します。作成されたコピーのファイル名として、上記のドライブ上に存在するフォルダ名を使用します。 送信されたメッセージには、ワームのコピーをダウンロードする以下のリンクが記載されています。

侵入方法

ワームは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

ワームは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Windows%\dc.exe
• %Windows%\SVIQ.exe
• %System%\WinSit.exe
• %System%\config\Win.exe
• %Windows%\system\Fun.exe
• %Windows%\inf\Other.exe
• %Windows%\Help\Other.exe

(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。. %System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

ワームは、以下のプロセスに組み込まれ、システムのプロセスに常駐します。

• csrss.exe
• lsass.exe

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
dc2k5 = %Windows%\SVIQ.EXE

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Fun = %Windows%\system\Fun.exe

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
dc = %Windows%\dc.exe

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows
run = %System%\config\Win.exe

他のシステム変更

ワームは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows
load = %Windows%\inf\Other.exe

(註：変更前の上記レジストリ値は、「{blank}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\MIcrosoft\
Windows NT\CurrentVersion\Winlogon
Shell = Explorer.exe %System%\WinSit.exe

(註：変更前の上記レジストリ値は、「Explorer.exe」となります。)

感染活動

ワームは、リムーバブルドライブ内に自身のコピーを作成します。作成されたコピーのファイル名として、上記のドライブ上に存在するフォルダ名を使用します。

送信されたメッセージには、ワームのコピーをダウンロードする以下のリンクが記載されています。

• http://{BLOCKED}vb.{BLOCKED}pages.com/NWB.txt

ワームは、以下のインスタントメッセンジャ（IM）を用いて標的とする受信者に自身のコピーを送信します。

• Yahoo! Messenger

ワームは、上記のインスタントメッセンジャ（IM）を用いて、以下のメッセージを送信します。

http://{BLOCKED}vb.{BLOCKED}pages.com/NWB.txt
Chuc mung, ban da tam thoi thoat khoi Worm DungCoi
Olalala, may tinh cua ban da dinh Worm DungCoi...........

作成活動

ワームは、以下のファイルを作成します。

• %Windows%\wininit.ini

(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。)