WORM_SILLY.SS

ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、既定のWindowsフォルダのアイコンを用いて、ユーザにファイルを開くよう促します。ユーザがファイルをダブルクリックすることで、このワームは実行されます。

ワームは、自身のSMTPエンジンを用いて特定のメールアドレスに収集した情報を送信します。

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Profile%\gupd.exe

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

ワームは、既定のWindowsフォルダのアイコンを用いて、ユーザにファイルを開くよう促します。ユーザがファイルをダブルクリックすることで、このワームは実行されます。

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
gtalkupdate = "%User Profile%\gupd.exe"

他のシステム変更

ワームは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Chilkat Software, Inc.\
ChilkatMail
Key30 = "{random characters}"

HKEY_LOCAL_MACHINE\SOFTWARE\Chilkat Software, Inc.\
ChilkatMail
Key30 = "{random characters}"

ワームは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Chilkat Software, Inc.

HKEY_CURRENT_USER\Software\Chilkat Software, Inc.\
ChilkatMail

HKEY_LOCAL_MACHINE\SOFTWARE\Chilkat Software, Inc.

HKEY_LOCAL_MACHINE\SOFTWARE\Chilkat Software, Inc.\
ChilkatMail

感染活動

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• essay.exe
• lecture notes.exe
• portfolio.exe

情報収集

ワームは、自身のSMTPエンジンを用いて特定のメールアドレスに収集した情報を送信します。

その他

ワームは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• http://www.google.com/index.html

実行されると、ワームは、以下のレジストリの値を問い合わせ、自身の存在を確認します。

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\gtalkupdate