WORM_SOHANAD.VE

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• D:\Windows\System32\dllwm.exe
• E:\Windows\System32\dllwm.exe
• A:\Secret.exe
• A:\sex_xxx.mp4.exe
• A:\hot Picture.png.exe
• A:\photo_453.jpg.exe
• B:\Secret.exe
• B:\sex_xxx.mp4.exe
• B:\hot Picture.png.exe
• B:\photo_453.jpg.exe
• %System Root%\Secret.exe
• %System Root%\sex_xxx.mp4.exe
• %System Root%\hot Picture.png.exe
• %System Root%\photo_453.jpg.exe
• D:\Secret.exe
• D:\sex_xxx.mp4.exe
• D:\hot Picture.png.exe
• D:\photo_453.jpg.exe
• E:\Secret.exe
• E:\sex_xxx.mp4.exe
• E:\hot Picture.png.exe
• E:\photo_453.jpg.exe
• F:\Secret.exe
• F:\sex_xxx.mp4.exe
• F:\hot Picture.png.exe
• F:\photo_453.jpg.exe
• G:\Secret.exe
• G:\sex_xxx.mp4.exe
• G:\hot Picture.png.exe
• G:\photo_453.jpg.exe
• H:\Secret.exe
• H:\sex_xxx.mp4.exe
• H:\hot Picture.png.exe
• H:\photo_453.jpg.exe
• I:\Secret.exe
• I:\sex_xxx.mp4.exe
• I:\hot Picture.png.exe
• I:\photo_453.jpg.exe
• J:\Secret.exe
• J:\sex_xxx.mp4.exe
• J:\hot Picture.png.exe
• J:\photo_453.jpg.exe
• K:\Secret.exe
• K:\sex_xxx.mp4.exe
• K:\hot Picture.png.exe
• K:\photo_453.jpg.exe
• L:\Secret.exe
• L:\sex_xxx.mp4.exe
• L:\hot Picture.png.exe
• L:\photo_453.jpg.exe
• M:\Secret.exe
• M:\sex_xxx.mp4.exe
• M:\hot Picture.png.exe
• M:\photo_453.jpg.exe
• N:\Secret.exe
• N:\sex_xxx.mp4.exe
• N:\hot Picture.png.exe
• N:\photo_453.jpg.exe
• O:\Secret.exe
• O:\sex_xxx.mp4.exe
• O:\hot Picture.png.exe
• O:\photo_453.jpg.exe
• P:\Secret.exe
• P:\sex_xxx.mp4.exe
• P:\hot Picture.png.exe
• P:\photo_453.jpg.exe
• Q:\Secret.exe
• Q:\sex_xxx.mp4.exe
• Q:\hot Picture.png.exe
• Q:\photo_453.jpg.exe
• R:\Secret.exe
• R:\sex_xxx.mp4.exe
• R:\hot Picture.png.exe
• R:\photo_453.jpg.exe
• S:\Secret.exe
• S:\sex_xxx.mp4.exe
• S:\hot Picture.png.exe
• S:\photo_453.jpg.exe
• T:\Secret.exe
• T:\sex_xxx.mp4.exe
• T:\hot Picture.png.exe
• T:\photo_453.jpg.exe
• U:\Secret.exe
• U:\sex_xxx.mp4.exe
• U:\hot Picture.png.exe
• U:\photo_453.jpg.exe
• V:\Secret.exe
• V:\sex_xxx.mp4.exe
• V:\hot Picture.png.exe
• V:\photo_453.jpg.exe
• W:\Secret.exe
• W:\sex_xxx.mp4.exe
• W:\hot Picture.png.exe
• W:\photo_453.jpg.exe
• X:\Secret.exe
• X:\sex_xxx.mp4.exe
• X:\hot Picture.png.exe
• X:\photo_453.jpg.exe
• Y:\Secret.exe
• Y:\sex_xxx.mp4.exe
• Y:\hot Picture.png.exe
• Y:\photo_453.jpg.exe
• Z:\Secret.exe
• Z:\sex_xxx.mp4.exe
• Z:\hot Picture.png.exe
• Z:\photo_453.jpg.exe

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Microsoft Update = "%System%\dllwm.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Windows Updater = "%User Temp%\server.exe"

他のシステム変更

ワームは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Policies\
Microsoft\Internet Explorer\Control Panel

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\ Policies\
System

HKEY_CURRENT_USER\Software\Yahoo\
pager\View\YMSGR_buzz

HKEY_CURRENT_USER\Software\Yahoo\
pager\View\YMSGR_Launchcast

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion \Run

ワームは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
WorkgroupCrawler\Shares
shared = "\dllwm.exe"

HKEY_CURRENT_USER\Software\Policies\
Microsoft\Internet Explorer\Control Panel
Homepage = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\ Policies\
System
DisableTaskMgr = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\ Policies\
System
DisableRegistryTools = "1"

HKEY_CURRENT_USER\Software\Yahoo\
pager\View\YMSGR_buzz
content url = "http://{BLOCKED}o.gl/aEUGfr"

HKEY_CURRENT_USER\Software\Yahoo\
pager\View\YMSGR_Launchcast
content url = "http://{BLOCKED}o.gl/aEUGfr"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion \Run
Task Manager = "%Windows%\taskmng.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Window Title = "Microsoft Internet Explorer"

ワームは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Start Page = "http://{BLOCKED}o.gl/aEUGfr"

(註：変更前の上記レジストリ値は、「http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome」となります。)

作成活動

ワームは、以下のファイルを作成します。

• %User Temp%\aut1.tmp
• %System%\dllwm.exe

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

その他

ワームは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}o.gl/aEUGfr/dkc.exe

このウイルス情報は、自動解析システムにより作成されました。