WORM_SMALL.ECD

ワームは、ランダムなIPアドレスに接続し、脆弱性「MS08-067：Server サービスの脆弱性により、リモートでコードが実行される (958644)」を利用する機能を備えています。また、ワームは、特定のユーザ名とパスワードを用いてポート1433に接続し、「MS08-028：Microsoft Jet Database Engine の脆弱性により、リモートでコードが実行される (950749)」を利用する機能も備えています。

上述の脆弱性が利用できると、ワームは、シェルコードを呼び出し、特定のFTPサーバからファイルをダウンロードして実行します。

ワームは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。 ワームは、他のマルウェアに作成され、コンピュータに侵入します。 ワームは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

侵入方法

ワームは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

ワームは、他のマルウェアに作成され、コンピュータに侵入します。

ワームは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

ワームは、以下のファイルを作成します。

• %System Root%\Tcpz-x86.sys

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

ダウンロード活動

ワームは、ランダムなIPアドレスに接続し、脆弱性「MS08-067：Server サービスの脆弱性により、リモートでコードが実行される (958644)」を利用する機能を備えています。また、ワームは、以下のユーザ名とパスワードを用いてポート1433に接続し、「MS08-028：Microsoft Jet Database Engine の脆弱性により、リモートでコードが実行される (950749)」を利用する機能も備えています。

• sa
• ic
• zxm1987
• as
• sql
• 123456
• hjs
• pos
• anypass
• sasa
• kingdee
• 8888

セキュリティ対策の面からも以下の説明を参照し、脆弱性を修正してください。

• MS08-028（英語情報のみ）
• MS08-028：Microsoft Jet Database Engine の脆弱性により、リモートでコードが実行される (950749)
• MS08-067
• MS08-067：Server サービスの脆弱性により、リモートでコードが実行される (958644)

上述の脆弱性が利用できると、ワームは、シェルコードを呼び出し、以下のFTPサーバからファイルをダウンロードして実行します。

• to.{BLOCKED}a.com

このワームがダウンロードするファイルは、情報公開日現在、以下として検出されます。

• BKDR_VENIK.AE
• BKDR_RBOT.SMB

この結果、感染コンピュータ上でこれらのマルウェアの不正活動が展開されることとなります。

その他

ワームは、以下のレジストリキーおよびレジストリ値を追加し、自身のコンポーネントをサービスとして登録します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpz-x86
ImagePath = "%System Root%\Tcpz-x86.sys"

ワームは、以下のURLにアクセスします。

• http://net.{BLOCKED}a.com/it.asp?intTimes={number}