WORM_MYDOOM.GEN

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

ワームは、ネットワーク共有フォルダを経由してコンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Windows%\java.exe

(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。)

ワームは、以下のコンポーネントファイルを作成します。

• %Windows%\services.exe - also detected as WORM_MYDOOM.GEN

(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。)

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
JavaVM = "%Windows%\java.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Services = "%Windows%\services.exe"

他のシステム変更

ワームは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Daemon

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Daemon

感染活動

ワームは、以下の拡張子を持つファイルからＥメールアドレスを収集します。

• .doc
• .txt
• .htm
• .html

ワームは、以下の文字列を含むＥメールアドレスにはメッセージを送信しません。

• mailer-d
• abuse
• master
• sample
• accoun
• privacycertific
• listserv
• submit
• ntivi
• support
• admin
• the.bat
• gold-certs
• feste
• rating
• someone
• anyone
• nothing
• nobody
• noone
• winrar
• winzip
• rarsoft
• sf.net
• sourceforge
• ripe.
• arin.
• google
• gmail
• seclist
• secur
• foo.com
• trend
• update
• uslis
• domain
• example
• sophos
• yahoo
• spersk
• panda
• hotmail
• msdn.
• microsoft
• sarc.