WORM_STRAT.BG

ワームは、大量送信されたスパムメールに添付されて、コンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、Windows のアドレス帳（WABファイル）から特定のＥメールアドレスを収集します。

侵入方法

ワームは、大量送信されたスパムメールに添付されて、コンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、以下のコンポーネントファイルを作成します。

• %System%\{Random File Name}.dll - also detected as WORM_STRAT.BG
• %System%\e1.dll - also detected as WORM_STRAT.BG
• %System%\{Random File Name}.exe - also detected as WORM_STRAT.BG
• %System%\{Random File Name}.dll - also detected as WORM_STRAT.BG

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

ワームは、以下の無害なファイルを作成します。

• %Windows%\serv.s
• %Windows%\serv.wax

(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。)

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Windows%\serv.exe

(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。)

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Serv = "%Windows%\serv.exe s"

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Windows
AppInit_DLLs = "{Random File Name}.dll e1.dll"

感染活動

ワームは、WABから特定のＥメールアドレスを収集します。

このワームは、自身のコピーをEメールに添付して感染活動を行います。ワームは自身でSMTPの電子メール送信を行う機能を備えているため、Microsoft Outlook 等の一般のメールアプリケーションを使用せずにメールを送信することが可能となります。

ワームが送信するメールの内容は以下の通りです。

• 件名：（以下のいずれか）
• Error
• Good day
• hello
• Mail Delivery Sy
• Mail server repo
• Mail Transaction
• picture
• Server Report
• Status
• test

• メッセージ本文：

Mail server report.

Our firewall determined the e-mails containing worm copies are being sent from your computer.

Nowadays it happens from many computers, because this is a new virus type (Network Worms).

Using the new bug in the Windows, these viruses infect the computer unnoticeably.

After the penetrating into the computer the virus harvests all the e-mail addresses and sends the copies of itself to these e-mail addresses

Please install updates for worm elimination and your computer restoring.

Best regards,
Customers support service

• 添付ファイル：（以下のいずれかのファイル名、偽の拡張子名、実際の拡張子名の組み合わせ）
• （ファイル名）
• body
• data
• doc
• docs
• document
• file
• message
• readme
• test
• text
• Update-KB{random numbers}-x86

添付ファイルは以下のいずれかの偽の拡張子および実際の拡張子を組み合わせた二重拡張子になっています。偽の拡張子の後に空欄やドット（"."）が入り、その後に実際の拡張子が追加されます。

• （偽の拡張子）
• DAT
• ELM
• LOG
• MSG
• TXT
• （実際の拡張子）
• BAT
• CMD
• EXE
• PIF
• SCR
• ZIP

上記の添付ファイルはワームのコピーです。ワームは二重拡張子を使用して添付ファイルを作成し、無害なファイルを装います。そのため、二重拡張子に気が付かないユーザが誤ってワームのコピーを実行してしまう場合があります。ただし、上記の添付ファイル名のうち "Update-KB{random numbers}-x86" のみ、ファイル拡張子は常に.EXEです。

その他

ワームは、以下の不正なWebサイトにアクセスします。

• http://upgrade.{BLOCKED}net.ne/?version=196644&source=kazaa_336
• http://www2.{BLOCKED}desachlion.co/cgi-bin/a.cgi
• http://www3.{BLOCKED}desachlion.com/cgi-bin/a.cgi
• http://www3.{BLOCKED}desachlion.com/chr/tdg/lt.exe
• http://www4.{BLOCKED}desachlion.co/chr/tdg/lt.exe
• http://www6.{BLOCKED}desachlion.co/chr/tdg/nt.exe