WORM_PUSHBOT.ZQ

ワームは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。 [Malware]は、ユーザがソーシャル・ネットワーキング・サイト「Facebook」に投稿されたスパムメッセージ内の不正なリンクをクリックすることにより、コンピュータに侵入します。

ワームは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

ワームは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

[Malware]は、ユーザがFacebookに投稿されたスパムメッセージ内の不正なリンクをクリックすることにより、コンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\daeuks.exe
• %User Startup%\cnunw.exe

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。. %User Startup%フォルダは、通常、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows NTの場合、"C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup"、Windows 2000、XP、Server 2003の場合、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup " です。)

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\AppDataLow\
tdlpmvceqfaskmyfxua\{E525B997-4A1A-425a-84B7-5D98AF7F902A}
{random} = "{malware path and file name}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
flsecjv = "%Application Data%\daeuks.exe"

他のシステム変更

ワームは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\AppDataLow

HKEY_CURRENT_USER\Software\AppDataLow\
tdlpmvceqfaskmyfxua

HKEY_CURRENT_USER\Software\AppDataLow\
tdlpmvceqfaskmyfxua\{E525B997-4A1A-425a-84B7-5D98AF7F902A}

感染活動

ワームは、以下のインスタントメッセンジャ（IM）を用いて、メッセージを送信します。このメッセージにはリンクが含まれており、リンク先のリモートサイトには、自身のコピーが組み込まれています。

• Skype
• MSN Messenger
• Windows Messenger

その他

ワームは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}la.com
• {BLOCKED}l.com
• {BLOCKED}t.com
• {BLOCKED}rt.com
• {BLOCKED}l.com
• {BLOCKED}l.com
• {BLOCKED}t.ie
• {BLOCKED}t.la
• {BLOCKED}t.to
• {BLOCKED}dress.com
• {BLOCKED}r.com
• {BLOCKED}n.ws
• {BLOCKED}ner.net
• {BLOCKED}rlink.com
• {BLOCKED}fy.wikinote.com
• {BLOCKED}inks.co.uk
• {BLOCKED}n.me
• {BLOCKED}rl.us
• {BLOCKED}t.com
• {BLOCKED}l.com
• {BLOCKED}fy.com
• {BLOCKED}matic.com
• {BLOCKED}ter.com
• {BLOCKED}t.st
• {BLOCKED}rl.com
• {BLOCKED}l.com
• {BLOCKED}l.net
• {BLOCKED}rl.com
• {BLOCKED}y.net
• {BLOCKED}e.to
• {BLOCKED}i.com
• {BLOCKED}k.com
• {BLOCKED}y.net
• {BLOCKED}rl.com
• {BLOCKED}i.li
• {BLOCKED}rl.net
• {BLOCKED}y.cc
• {BLOCKED}nk.com
• {BLOCKED}p.net
• {BLOCKED}rl.com
• {BLOCKED}j.org
• {BLOCKED}o.ly
• {BLOCKED}r.im
• {BLOCKED}a.kz
• {BLOCKED}rl.com
• {BLOCKED}m.li
• {BLOCKED}l.com
• {BLOCKED}o.us
• {BLOCKED}3.it
• {BLOCKED}i.bz
• {BLOCKED}l.at
• {BLOCKED}turl.com
• {BLOCKED}clicks.com
• {BLOCKED}pwr.com
• {BLOCKED}t.at
• {BLOCKED}l.cc