WORM_PALEVO.ASB

感染経路：リムーバブルドライブを介した感染活動、インスタントメッセンジャ（IM）を介した感染活動ワームは、インスタントメッセンジャ「MSNメッセンジャー」を介してコンピュータに侵入します。

このワームのファイル名が"C:\file.exe" または "C:\sample.exe" の場合、またはユーザ名が「カレントユーザ」の場合、ワームは、不正活動を継続しません。

ワームは、MSNメッセンジャーのメッセージを送ることにより感染活動を行う機能を備えています。このメッセージは、このワームのコピーがダウンロードされるリンクを含んいます。

ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、すべてのリムーバブルドライブ内に自身のコピーを作成します。 ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ワームは、ランダムなポートを開きます。 ワームは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 ワームは、特定のWebサイトにアクセスし、情報を送受信します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Profile%\Application Data\{random filename}.exe

(註：%User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。)

ワームは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• explorer.exe

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Taskman = "%User Profile%\Application Data\{random filename}.exe"

感染活動

ワームは、すべてのリムーバブルドライブ内に自身のコピーを作成します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

{garbage characters}
[autorun
{garbage characters}
open=sond/Mircr0dll.exe
{garbage characters}
:call
{garbage characters}
icon=%SystemRoot%\system32\SHELL32.dll,4
{garbage characters}
:cmp
{garbage characters}
action=Open folder to view files using Windows Explorer
{garbage characters}
shell\\open\\command=sond/Mircr0dll.exe
{garbage characters}
:jmp5
{garbage characters}
shell\\explore\command=sond/Mircr0dll.exe
{garbage characters}
useautoplay=1
{garbage characters}

バックドア活動

ワームは、ランダムなポートを開き、不正リモートユーザが感染コンピュータに接続できるようにします。接続されると、不正リモートユーザは、感染コンピュータ上でのコマンド実行が可能となります。

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• Launch TCP or UDP flood
• Download and execute files from the internet
• Visit websites

ワームは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}i.panadool400.com
• {BLOCKED}i.xylocomod.com
• {BLOCKED}p.xylocomod.com
• {BLOCKED}p.xylocomoda.com
• {BLOCKED}p.xylocomods.com
• www.{BLOCKED}1.com
• www.{BLOCKED}2.com
• www.{BLOCKED}3.com
• www.{BLOCKED}4.com
• www.{BLOCKED}5.com

その他

ただし、情報公開日現在、このWebサイトにはアクセスできません。

ワームは、MSNメッセンジャーを介してコンピュータに侵入します。

このワームのファイル名が"C:\file.exe" または "C:\sample.exe" の場合、またはユーザ名が「カレントユーザ」の場合、ワームは、不正活動を継続しません。

ワームは、MSNメッセンジャーのメッセージを送ることにより感染活動を行う機能を備えています。このメッセージは、このワームのコピーがダウンロードされるリンクを含んいます。

ワームが実行するコマンドは、以下のとおりです。

• TCPおよびUDPを利用したフラッド攻撃の実行
• Webサイトからファイルのダウンロードおよび実行
• Webサイトの閲覧