WORM_IRCBOT.MBC

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、IRCサーバに接続します。

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\msnl.exe

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

ワームは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• 8c6w4s3o9v2bw5

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Windows System Guard = "%Application Data%\msnl.exe"

他のシステム変更

ワームは、以下のレジストリ値を作成し、Windowsのファイアウォールを回避します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%Application Data%\msnl.exe = "%Application Data%\msnl.exe:*:Enabled:Windows System Guard"

感染活動

ワームは、上記のインスタントメッセンジャ（IM）を用いて、以下のメッセージを送信します。

olhar para esta foto :D
dette bildet :D
bekijk deze foto :D
schau mal das foto an :D
look at this picture :D
a :D
regardez cette photo :D
guardare quest'immagine :D
vejte se na mou fotku :D
dette billede :D
pet :D
spojrzec na to zdjecie :D
bu resmi bakmak :D
kuvaa :D
uita-te la aceasta fotografie :D
to fotografiu :D
denna bild :D
poglej to fotografijo :D
pogledaj to slike :D
seen this?? :D

ワームは、以下のインスタントメッセンジャ（IM）を用いて、メッセージを送信します。このメッセージにはリンクが含まれており、リンク先のリモートサイトには、自身のコピーが組み込まれています。

• Yahoo! Messenger
• PalTalk Messenger
• AIM Messenger

バックドア活動

ワームは、以下のいずれかのIRCサーバに接続します。

• {BLOCKED}am.{BLOCKED}zeri.de

ワームは、以下のいずれかのIRCチャンネルに接続します。

• #newbin#