WORM_IRCBOT.TES
Worm:Win32/Hamweq.A (Microsoft), Worm.Win32.AutoRun.egk (Kaspersky)
Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)
マルウェアタイプ:
ワーム
破壊活動の有無:
なし
暗号化:
感染報告の有無 :
はい
概要
ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。
詳細
侵入方法
ワームは、リムーバブルドライブを介してコンピュータに侵入します。
ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。
- %System Root%\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\spoolsv.exe
(註:%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)
ワームは、以下のファイルを作成します。
- %System Root%\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\Desktop.ini
- {removable drive}\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\Desktop.ini
(註:%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)
ワームは、以下のフォルダを作成します。
- %System Root%\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013
(註:%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)
感染活動
ワームは、すべてのリムーバブルドライブ内に以下のフォルダを作成します。
- %System Root%\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013
(註:%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)
ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。
- %System Root%\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\spoolsv.exe
(註:%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)
ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。
その他
ワームは、以下の不正なWebサイトにアクセスします。
- {BLOCKED}abot.com
- {BLOCKED}4.{BLOCKED}7.248.112