WORM_PADOBOT.W

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %System%\{Random}32.exe

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

ワームは、以下のファイルを作成します。

• %System%\{Random3}32.dll
• %System%\{Random4}32.dll
• %System%\drivers\ndisrd.sys

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

ワームは、以下のファイルを作成し実行します。

• %System Root%\boot.sys
• %System%\{Random2}.exe

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

他のシステム変更

ワームは、以下のレジストリキーを追加します。

HKEY_CLASSES_ROOT\CLSID\{Random}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ndisrd

HKEY_CLASSES_ROOT\CLSID\{Random2}

HKEY_CLASSES_ROOT\CLSID\{Random3}

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\CurrentVersion

HKEY_CURRENT_USER\Software\Policies\
Microsoft\Windows

ワームは、以下のレジストリ値を追加します。

HKEY_CLASSES_ROOT\CLSID\{Random}\
InProcServer32
(Default) = "%System%\{Random}.dll"

HKEY_CLASSES_ROOT\CLSID\{Random1}\
InProcServer32
ThreadingModel = "Apartment"

HKEY_CLASSES_ROOT\CLSID\{Random2}\
InProcServer32
(Default) = "%System%\{Random1}.dll"

HKEY_CLASSES_ROOT\CLSID\{Random3}\
InProcServer32
ThreadingModel = "Apartment"

HKEY_CLASSES_ROOT\CLSID\{Random4}\
InProcServer32
(Default) = "%System%\{Random2}.dll"

HKEY_CLASSES_ROOT\CLSID\{Random5}\
InProcServer32
ThreadingModel = "Apartment"

HKEY_CURRENT_USER\Software\Microsoft\
Windows
KKQHOOK = "28"

HKEY_CURRENT_USER\Software\Microsoft\
Windows
ifc = "0"

HKEY_CURRENT_USER\Software\Policies\
Microsoft\Windows\CurrentVersion\
Internet Settings\Zones\0
1601 = "0"

HKEY_CURRENT_USER\Software\Policies\
Microsoft\Windows\CurrentVersion\
Internet Settings\Zones\1
1601 = "0"

HKEY_CURRENT_USER\Software\Policies\
Microsoft\Windows\CurrentVersion\
Internet Settings\Zones\2
1601 = "0"

HKEY_CURRENT_USER\Software\Policies\
Microsoft\Windows\CurrentVersion\
Internet Settings\Zones\3
1601 = "0"

HKEY_CURRENT_USER\Software\Policies\
Microsoft\Windows\CurrentVersion\
Internet Settings\Zones\4
1601 = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\CurrentVersion\
Internet Settings\Zones\0
1601 = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\CurrentVersion\
Internet Settings\Zones\1
1601 = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\CurrentVersion\
Internet Settings\Zones\2
1601 = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\CurrentVersion\
Internet Settings\Zones\3
1601 = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\CurrentVersion\
Internet Settings\Zones\4
1601 = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ndisrd
Group = "Network"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ndisrd
ErrorControl = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ndisrd
Start = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ndisrd
Type = "1"

ワームは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\3
1601 = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\4
1601 = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\3
1601 = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\4
1601 = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

その他

ワームは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}inaltrash.ru/index.html?ifc=0
• http://www.{BLOCKED}er.ru/redirect.php?id=765
• http://s.{BLOCKED}m.ru/wgo
• http://{BLOCKED}relsss.com/wres.php?ifc=0