WORM_PROLACO

これは、複数の「WORM_PROLACO」の亜種を解析した結果に基づいた説明です。ファイル名およびレジストリ値といった具体的な情報は、亜種によって異なります。

ワームは、大量送信されたスパムメールに添付されて、コンピュータに侵入します。 ワームは、ピアツーピア（P2P）の共有フォルダを介してコンピュータに侵入します。 ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成され、コンピュータに侵入します。 ワームは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

ワームは、感染コンピュータに接続しているすべてのリムーバブルドライブ内に自身のコピーを作成します。 ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ワームは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

ワームは、作成したファイルを実行します。

侵入方法

ワームは、大量送信されたスパムメールに添付されて、コンピュータに侵入します。

ワームは、P2Pの共有フォルダを介してコンピュータに侵入します。

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、他のマルウェアに作成され、コンピュータに侵入します。

ワームは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\{malware file name}.exe

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

ワームは、以下のフォルダを作成します。

• %Application Data%\SystemProc

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random} = "%System%\{malware file name}.exe"

他のシステム変更

ワームは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
{random}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
{random}

ワームは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
{random} = "%System%\{malware file name}.exe"

感染活動

ワームは、ピアツーピア（P2P）ネットワーク上で使用される以下のフォルダ内に自身のコピーを作成します。

• %Program Files%\emule\incoming\
• %Program Files%\grokster\my grokster\
• %Program Files%\icq\shared folder\
• %Program Files%\limewire\shared\
• %Program Files%\morpheus\my shared folder\
• %Program Files%\tesla\files\
• %Program Files%\bearshare\shared\
• %Program Files%\edonkey2000\incoming\
• %Program Files%\kazaa lite k++\my shared folder\
• %Program Files%\kazaa lite\my shared folder\
• %Program Files%\kazaa\my shared folder\
• %Program Files%\winmx\shared\
• %System Root%\Downloads\
• %User Profile%\My Documents\Frostwire\shared

(註：%Program Files%は、標準設定では "C:\Program Files" です。. %System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。)

ワームは、感染コンピュータに接続しているすべてのリムーバブルドライブ内に自身のコピーを作成します。

ワームは、以下のファイル名を用いて、ネットワーク共有フォルダ内に自身のコピーを作成します。

• AVS Video Converter v6.3.1.365 CRACKED.exe
• Ad-aware 2010.exe
• Adobe Acrobat Reader keygen.exe
• Adobe Illustrator CS4 crack.exe
• Adobe Photoshop CS5 crack.exe
• Alcohol 120 v1.9.7.exe
• Anti-Porn v13.5.12.29.exe
• AnyDVD HD v.6.3.1.8 Beta incl crack.exe
• Ashampoo Snap 3.02.exe
• BitDefender AntiVirus 2010 Keygen.exe
• Blaze DVD Player Pro v6.52.exe
• CleanMyPC Registry Cleaner v6.02.exe
• DVD Tools Nero 10.5.6.0.exe
• Daemon Tools Pro 4.50.exe
• Divx Pro 7 + keymaker.exe
• Download Accelerator Plus v9.exe
• Download Boost 2.0.exe
• G-Force Platinum v3.7.5.exe
• Google SketchUp 7.1 Pro.exe
• Grand Theft Auto Episodes From Liberty City 2010.exe
• Image Size Reducer Pro v1.0.1.exe
• Internet Download Manager V5.exe
• K-Lite Mega Codec v5.5.1.exe
• K-Lite Mega Codec v5.6.1 Portable.exe
• Kaspersky AntiVirus 2010 crack.exe
• LimeWire Pro v4.18.3.exe
• MagicISO Magic ISO Maker v5.5.0276 Cracked.exe
• McAfee Total Protection 2010.exe
• Microsoft.Windows 7 ULTIMATE FINAL activator+keygen x86.exe
• Motorola, nokia, ericsson mobil phone tools.exe
• Mp3 Splitter and Joiner Pro v3.48.exe
• Myspace theme collection.exe
• Nero 9 9.2.6.0 keygen.exe
• Norton Anti-Virus 2010 crack.exe
• Norton Internet Security 2010 crack.exe
• PDF Unlocker v2.0.3.exe
• PDF password remover (works with all acrobat reader).exe
• PDF to Word Converter 3.0.exe
• PDF-XChange Pro.exe
• Power ISO v4.2 + keygen axxo.exe
• RapidShare Killer AIO 2010.exe
• Rapidshare Auto Downloader 3.8.exe
• Sony Vegas Pro v9.0a incl crack.exe
• Sophos antivirus updater bypass.exe
• Starcraft2 REGION-UNLOCKER.exe
• Starcraft2 SERVER-CHANGER.exe
• Starcraft2 battle.net key generator.exe
• Starcraft2 battle.net keys.txt.exe
• Starcraft2.exe
• Super Utilities Pro 2009 11.0.exe
• Total Commander7 license+keygen.exe
• Trojan Killer v2.9.4173.exe
• Tuneup Ultilities 2010.exe
• Twitter FriendAdder 2.1.1.exe
• Uniblue RegistryBooster 2010.exe
• VmWare 7.0 keygen.exe
• VmWare keygen.exe
• WinRAR v3.x keygen RaZoR.exe
• Winamp.Pro.v7.33.PowerPack.Portable+installer.exe
• Windows 2008 Enterprise Server VMWare Virtual Machine.exe
• Windows 7 Ultimate keygen.exe
• Windows XP PRO Corp SP3 valid-key generator.exe
• Windows2008 keygen and activator.exe
• YouTubeGet 5.4.exe
• Youtube Music Downloader 1.0.exe

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ワームは、ドメイン名の先頭に以下の文字列を追記し、利用可能なSMTPサーバを検索します。

• gate.
• mail.
• mail1.
• mailmx
• mx0
• mx1.
• mxs.
• ns.
• relay.
• smtp.

ワームは、自身のSMTPエンジンを用いてＥメールを送信する機能を備えています。その際、送信されるメールには、トロイの木馬型もしくはJavaScript系のマルウェア（ダウンローダ）が添付されています。添付の詳細は以下のとおりです。

• From:
  • e-cards@hallmark.com
  • invitations@twitter.com
  • invitations@hi5.com
  • order-update@amazon.com
  • resume-thanks@google.com
  • update@facebookmail.com
• Subject:
  • You have received A Hallmark E-Card!
  • Your friend invited you to Twitter!
  • Laura would like to be your friend on hi5!
  • Shipping update for your Amazon.com order.
  • Thank you from Google!
  • You have got a new message on Facebook!

ワームは、以下の文字列を含むＥメールアドレスにはメッセージを送信しません。

• abuse
• acd-group
• acdnet.com
• acdsystems.com
• acketst
• admin
• ahnlab
• alcatel-lucent.com
• anyone
• apache
• arin.
• avg.comsysinternals
• avira
• badware
• berkeley
• bitdefender
• bluewin.ch
• borlan
• bpsoft.com
• buyrar.com
• certific
• cisco
• clamav
• contact
• debian
• drweb
• eset.com
• example
• f-secure
• firefox
• ghisler.com
• gold-certs
• honeynet
• honeypot
• ibm.com
• icrosoft
• idefense
• ikarus
• immunityinc.com
• inpris
• isc.o
• isi.e
• jgsoft
• kaspersky
• kernel
• lavasoft
• linux
• listserv
• mcafee
• messagelabs
• mit.e
• mozilla
• mydomai
• nobody
• nodomai
• noone
• nothing
• novirusthanks
• ntivi
• nullsoft.org
• panda
• postmaster
• prevx
• privacy
• qualys
• quebecor.com
• rating
• redhat
• rfc-ed
• ruslis
• sales
• samba
• samples
• secur
• security
• sendmail
• service
• slashdot
• somebody
• someone
• sopho
• sourceforge
• ssh.com
• submit
• sun.com
• support
• syman
• tanford.e
• the.bat
• usenet
• utgers.ed
• virus
• virusbuster
• webmaster
• websense
• winamp
• winpcap
• wireshark
• www.ca.com

ルートキット機能

ワームは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

プロセスの終了

ワームは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• APVXDWIN
• AVG8_TRA
• AVP
• AntiVirScheduler
• Arrakis3
• BDAgent
• CAVRID
• CaCCProvSP
• DrWebSch
• ERSvc
• Ehttpsrvekrn
• Emproxy
• F-PROT Antivirus Tray application
• FPAVServ
• GWMSRV
• ISTray
• K7EmlPxy
• K7RTScan
• K7SystemTray
• K7TSMngr
• K7TSStar
• LIVESRV
• LiveUpdate Notice Service
• MCNASVC
• MPFSERVICE
• MPS9
• McAfee HackerWatch Service
• McENUI
• MskAgentexe
• OfficeScanNT Monitor SpamBlocker
• PANDA SOFTWARE CONTROLLER
• PAVFNSVR
• PAVPRSRV
• PAVSVR
• PSHOST
• PSIMSVC
• PSKSVCRE
• RSCCenter
• RSRavMon
• RavTask
• SAVScan
• SBAMTra
• SCANINICIO
• Savadmin
• Savservice
• Service
• Sophos Autoupdate Service
• SpIDerMail
• Spam Blocker for Outlook Express
• Symantec Core LCccEvtMgr
• TAIL
• TPSRV
• ThreatFire
• VSSERV
• WerSvc
• WinDefend
• Windows Defender
• XCOMM
• antivirservice
• aswupdsv
• avast
• avast! Antivirus
• avast! Mail Scanner
• avast! Web Scanner
• avg8emc
• avg8wd
• bdss
• ccproxy
• ccpwdsv
• ccsetmg
• cctray
• eduler
• egui
• liveupdate
• mcODS
• mcmisupdmgr
• mcmscsvc
• mcpromgr
• mcproxy
• mcredirector
• mcshield
• mcsysmon
• msk80service
• navapsvc
• npfmntor
• nscservice
• sbamsvc
• sbamui
• scan
• sdauxservice
• sdcodeservice
• service
• sndsrvc
• spbbcsvc
• wscsvc

作成活動

ワームは、以下のファイルを作成します。

• {malware path}\{malware file name}.exe - detected as another malware

ワームは、作成したファイルを実行します。

その他

ワームは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://whatsmyip.com

ワームは、以下のWebサイトにアクセスして不正なファイルをダウンロードします。

• http://www.{BLOCKED}ne.net
• http://{BLOCKED}x.com/se.php
• http://{BLOCKED}llqz.com/inst.php
• http://{BLOCKED}on7.com/update.php
• http://{BLOCKED}.com/update.php
• http://{BLOCKED}.com/update.php
• http://{BLOCKED}ebox.com/update.php

これは、複数の「WORM_PROLACO」の亜種を解析した結果に基づいた説明です。ファイル名およびレジストリ値といった具体的な情報は、亜種によって異なります。