WORM_PALEVO.JB

ワームは、感染リムーバブルドライブを接続することにより、コンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、特定のポートを開き、ネットワーク共有フォルダにアクセスします。 ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。 ワームは、ソフトウェアに存在する脆弱性を利用して、ネットワーク上で感染活動をします。

ワームは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

ワーム マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した ワーム ）を削除します。

侵入方法

ワームは、感染リムーバブルドライブを接続することにより、コンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Windows%\system\lsass.exe

(註：%Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)

ワームは、以下のコンポーネントファイルを作成します。

• %System%\drivers\sysdrv32.sys - detected as RTKT_TCPAGENT.W

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

ワームは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• x3Ddfqjif9ij3re238KASx

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
ilass = "%Windows%\system\lsass.exe"

ワームは、作成されたコンポーネントをシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\sysdrv32
Type = "1"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\sysdrv32
Start = "3"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\sysdrv32
ErrorControl = "1"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\sysdrv32
ImagePath = "\??\%System%\drivers\sysdrv32.sys"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\sysdrv32
DisplayName = "Play Port I/O Driver"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\sysdrv32
Group = "SST wanport drivers"

ワームは、作成されたコンポーネントをシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\sysdrv32

他のシステム変更

ワームは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot\Minimal\
lsass
(Default) = "Service"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot\Network\
lsass
(Default) = "Service"

ワームは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot\Minimal\
lsass

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot\Network\
lsass

感染活動

ワームは、以下のポートを開き、ネットワーク共有フォルダにアクセスします。

• 445

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {Removable Drive Letter}:\KEY-INSTALLER.EXE

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[autorun]
shellexecute=Key-Installer.exe
action=Open folder to view files
shell\default=Open
shell\default\command=Key-Installer.exe
shell=default

ワームは、以下のソフトウェアに存在する脆弱性を利用して、ネットワーク上で感染活動をします。

• CVE-2008-4250

バックドア活動

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• download and execute arbitrary files
• run or terminate applications
• perform remote shell commands

ワームは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• 1.{BLOCKED}ww.com

ただし、情報公開日現在、このWebサイトにはアクセスできません。

その他

ワーム は、自身（コンピュータに侵入して最初に自身のコピーを作成した ワーム ）を削除します。

ワームが作成する以下のコンポーネントファイルは、「RTKT_TCPAGENT.W」として検出されます。

• %System%\drivers\sysdrv32.sys

ワームが実行するコマンドは、以下のとおりです。

• 任意のファイルのダウンロードおよび実行
• アプリケーションの実行や終了
• リモートシェルコマンドの実行

ワームは、ランダムなIPアドレスを生成し、TCPポート445番を利用して通信を確立します。通信の確立に成功すると、ワームは、自身のコピーと共に特別に細工されたRPCリクエストを送信します。

ワームは、ルートキット機能を備えていません。