WORM_LOLBOT.BR

ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\HEX-5823-6893-6818\jusched.exe
• %System Root%\Public\HEX-5823-6893-6818\jusched.exe (for Windows 7 and Vista)

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

ワームは、以下のファイルを作成します。

• {Drive Letter}:\{folder name}s.lnk - if the removable drive contains folders
• %System%\winrtsnr.txt

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

ワームは、以下のフォルダを作成します。

• %Application Data%\HEX-5823-6893-6818
• %System Root%\Public\HEX-5823-6893-6818 (for Windows 7 and Vista)

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

ワームは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• l0lkn0lltr0ll

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Java Update Manager = "%Application Data%\HEX-5823-6893-6818\jusched.exe"

他のシステム変更

ワームは、以下のレジストリ値を作成し、Windowsのファイアウォールを回避します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%Application Data%\HEX-5823-6893-6818\jusched.exe = "%Application Data%\HEX-5823-6893-6818\jusched.exe:*:Enabled:Java Update Manager"

感染活動

ワームは、すべてのリムーバブルドライブ内に以下のフォルダを作成します。

• {Drive Letter}:\{random digit}

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {Drive Letter}:\{random digit}\{folder name}.exe

ワームは、以下のインスタントメッセンジャ（IM）を用いて、メッセージを送信します。このメッセージにはリンクが含まれており、リンク先のリモートサイトには、自身のコピーが組み込まれています。

• Yahoo
• XFire
• Skype
• PalTalk
• ICQ
• GTalk
• MSN

バックドア活動

ワームは、以下のいずれかのIRCサーバに接続します。

• http://{BLOCKED}ution.nicaze.net

ワームは、リモートでInternet Relay Chat （IRC）サーバにアクセスし、不正リモートユーザから以下のコマンドを受信します。

• Upload files
• Download and execute files

情報漏えい

ワームは、以下の情報を収集します。

• Host Name
• Locale Info
• OS Version

ワームは、以下IRCサーバにアクセスし、収集した情報を送信します。

• http://＜省略＞ution.nicaze.net

ただし、情報公開日現在、このWebサイトにはアクセスできません。

その他

ワームは、リムーバブルドライブ内の自身のコピーに誘導するショートカットファイル（拡張子LNK）も作成します。なお、作成したショートカットファイル名には、リムーバブルドライブ内に存在するフォルダ名を使用します。

そしてワームは、名称を借用した実際のフォルダの方は、属性を「隠しファイル」に設定し、作成したショートカットファイルをクリックさせようとします。

ワームは、ルートキット機能を備えていません。

ワームは、脆弱性を利用した感染活動を行いません。

ワームが侵入したコンピュータのオペレーティングシステム（OS）が Windows 7 および Windows Vista の場合、ワームが作成するフォルダは以下のとおりです。

• %System Root%\Public\HEX-5823-6893-6818

ワームが侵入したコンピュータのOSが Windows 7 および Windows Vista の場合、ワームが作成する自身のコピーは以下のとおりです。

• %System Root%\Public\HEX-5823-6893-6818\jusched.exe

リムーバブルドライブがフォルダを含んでいる場合、ワームが作成するファイルは以下のとおりです。

• ＜ドライブレター＞:\＜フォルダ名＞s.lnk

ワームが実行するコマンドは、以下のとおりです。

• ファイルのダウンロードおよび実行
• ファイルのアップロード

ワームが収集する情報は、以下のとおりです。

• ホスト名
• ローカルの情報
• OSの種類