WORM_KOLAB.SMQX

ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、リムーバブルドライブ内に自身のコピーを作成します。作成されたコピーのファイル名として、上記のドライブ上に存在するフォルダ名を使用します。

ワームは、IRCサーバに接続します。 ワームは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\E-73473-3674-74335\msnrsmsn.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

ワームは、以下のフォルダを作成します。

• %Application Data%\E-73473-3674-74335

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Microsoft MainUpdates = "%Application Data%\E-73473-3674-74335\msnrsmsn.exe"

他のシステム変更

ワームは、以下のレジストリ値を作成し、Windowsのファイアウォールを回避します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%Application Data%\E-73473-3674-74335\msnrsmsn.exe = "%Application Data%\E-73473-3674-74335\msnrsmsn.exe:*:Enabled:Microsoft MainUpdates"

感染活動

ワームは、リムーバブルドライブ内に自身のコピーを作成します。作成されたコピーのファイル名として、上記のドライブ上に存在するフォルダ名を使用します。

ワームは、インスタントメッセンジャ（IM）を用いて以下のメッセージを送信します。

・belas fotos nao de voce (Malicious URL)
・vakre bilder fra deg. (Malicious URL)
・hoi niet mooi fotos (Malicious URL)
・ich sag nur geile fotos. (Malicious URL)
・hey, beautiful facebook photos.. (Malicious URL)
・muy hermosas fotos no?? (Malicious URL)
・uh vos facebook photos? (Malicious URL)
・wow le tue foto bellissime (Malicious URL)
・ahoj, dobry den jste na? ... (Malicious URL)
・uh flotte fotos fra dig (Malicious URL)
・uh szep kepek rolad (Malicious URL)
・uhh, ladne zdjecia z was. (Malicious URL)
・Fotograflarinizi?? (Malicious URL)
・uh valokuva ei ole? (Malicious URL)
・woow, imagini frumoase din voi?? (Malicious URL)
・u velmi pekne fotografie od vas?(Malicious URL)
・pekne fotografie od vas? (Malicious URL)
・vackra bilder fran dig (Malicious URL)
・hoj so vase fotografije? (Malicious URL)
・u lepo slike ne? ... (Malicious URL)
・wow, fbphotos. (Malicious URL)

ワームは、以下のインスタントメッセンジャ（IM）を用いて標的とする受信者に自身のコピーを送信します。

• Yahoo! Messenger

バックドア活動

ワームは、以下のいずれかのIRCサーバに接続します。

• {BLOCKED}m.{BLOCKED}ch.ru

ワームは、以下のいずれかのIRCチャンネルに接続します。

• #biznew#

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• im
• down
• sort
• erase

ダウンロード活動

ワームは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}hare.com/files/1939491401/msg.exe

ワームは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\{random}.exe

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

ただし、情報公開日現在、このWebサイトにはアクセスできません。

その他

ワームは、自身がダウンロードされるURL情報を受信します。