WORM_PALEVO.SMGA

感染経路：リムーバブルドライブを介した感染活動

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ワームは、特定のWebサイトにアクセスし、情報を送受信します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Profile%\Application Data\vfbu.exe

(註：%User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。)

ワームは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• K/Fz+56

ワームは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• explorer.exe

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Winlogon
Taskman = "%User Profile%\Application Data\vfbu.exe"

他のシステム変更

ワームは、以下のレジストリキーを追加します。

HKEY_CLASSES_ROOT\CLSID\{ABF9E1AD-556E-9CDD-C65E-7DC2090FC2D7}

HKEY_CURRENT_USER\Software\Licenses

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
RFC1156Agent

ワームは、以下のレジストリ値を追加します。

HKEY_CLASSES_ROOT\CLSID\{ABF9E1AD-556E-9CDD-C65E-7DC2090FC2D7}\
InProcServer32
(Default) = "%SystemRoot%\system32\dsuiext.dll"

HKEY_CLASSES_ROOT\CLSID\{ABF9E1AD-556E-9CDD-C65E-7DC2090FC2D7}\
InProcServer32
ThreadingModel = "Apartment"

HKEY_CLASSES_ROOT\CLSID\{ABF9E1AD-556E-9CDD-C65E-7DC2090FC2D7}\
ShellEx\MayChangeDefaultMenu
(Default) = "1"

HKEY_CURRENT_USER\Software\Licenses
{K7C0DB872A3F777C0} = "{random numbers}"

HKEY_CURRENT_USER\Software\Licenses
{I5BF672D06FBF693E} = "{random numbers}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
RFC1156Agent\CurrentVersion\Parameters
TrapPollTimeMilliSecs = "3a98"

感染活動

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {removable drive letter}:\U3ROM\system32.exe

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

;2438uxZysrgOsS3oPi9WHNrYpmhdh la
[autorun]
open=U3ROM/system32.exe
;kjcxziuyyuc^^dj[
icon=U3ROM/default.ico
;jdkaZysrgOsS3oPi9WHNrYpmkjfjkasdfh
action=Open
;1s0PSq7YZysrgOsS3oPi9WHNrYpmdP5v8736B4yu4d2I2308cT\8
shell\open\command=U3ROM/system32.exe
shell\explore\command=U3ROM/system32.exe
useautoplay=1
:GOTO NUL
;]2y3ZysrgOsS3oPi9WHNrYpm\lV=66q8

その他

ワームは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}dates2000.com
• {BLOCKED}windows.net
• {BLOCKED}ureserv.com
• {BLOCKED}servis.in
• {BLOCKED}cureupdate.com

ただし、情報公開日現在、このWebサイトにはアクセスできません。

ワームは、すべてのリムーバブルドライブ内に以下のフォルダを作成します。

• {removable drive letter}:\U3ROM

ワームは、すべてのリムーバブルドライブ内に以下のファイルを作成します。

• {removable drive letter}:\U3ROM\default.ico

ワームが作成した "AUTORUN.INF" は、「TROJ_OTORUN.GK」として検出されます。