WORM_KOLAB.CG

ワームは、ピアツーピア（P2P）の共有フォルダを介してコンピュータに侵入します。 ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ワームは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

ワームは、P2Pの共有フォルダを介してコンピュータに侵入します。

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、以下のコンポーネントファイルを作成します。

• {malware location}\Desktop.ini
• %System Root%\RECYCLER\{SID}\Desktop.ini
• {removable drive letter}:\usecure\desktop.ini

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System Root%\RECYCLER\{SID}\MsMxEng.exe

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

ワームは、以下の通常のプロセスにスレッドを組み込みます。

• Explorer.exe

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Taskman = "%System Root%\RECYCLER\{SID}\MsMxEng.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Taskman = "{malware location}\{malware name}"

感染活動

ワームは、すべてのリムーバブルドライブ内に以下のフォルダを作成します。

• {removable drive letter}:\usecure

ワームは、ピアツーピア（P2P）ネットワーク上で使用される以下のフォルダ内に自身のコピーを作成します。

• Kazaa
• BearShare
• iMesh
• Shareaza
• DC++
• Emule
• LimeWire
• Ares

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {removable drive letter}:\usecure\usecure32.exe

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

{garbage codes}
[autorun
{garbage codes}
open=usecure/usecure32.exe
{garbage codes}
icon=%SystemRoot%\system32\SHELL32.dll,4
;{garbage codes}
action=Open folder to view files using Windows Explorer
;{garbage codes}
USEAUToplay=1
;{garbage codes}
shell\open\command=usecure/usecure32.exe
;{garbage codes}
shell\explore\command=usecure/usecure32.exe
{garbage codes}

バックドア活動

ワームは、以下のポートを開き、リモートコマンドを待機します。

• 44403

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• Performs denial of service (DoS) attacks on affected systems using SYN flooding
• Steal user credentials
• Infect network computers using VNC
• Download arbitrary files
• Execute arbitrary commands

ワームは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• www.{BLOCKED}eslounge.com
• www.{BLOCKED}racypetition.com
• www.{BLOCKED}lmind.cn

その他

ワームは、ルートキット機能を備えていません。

ワームは、脆弱性を利用した感染活動を行いません。

ワームが実行するコマンドは、以下のとおりです。

• 感染コンピュータ上でSYNフラッドを利用したサービス拒否（DoS）攻撃の実施
• ユーザの認証情報の収集
• VNCを利用することによるコンピュータのネットワークへの感染
• 任意のファイルのダウンロード
• 任意のコマンドの実行