WORM_TATERF.EQ

ワームは、特定の文字列を含むプロセス／サービスを監視することによって、オンラインゲームに関連するユーザ名およびパスワードといったログイン情報を収集します。

ワームは、特定のWebサイトおよびプロセス、レジストリキーを監視し、「Yahoo! JAPAN」の認証情報を収集します。

ワーム マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成したワーム）を削除します。

ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ワームは、バックドア活動の機能を備えていません。

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、以下のコンポーネントファイルを作成します。

• %User Temp%\4tddfwq{number}.dll - also detected as WORM_TATERF.EQ

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Temp%\xvassdf.exe

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
54dfsger = "%User Temp%\xvassdf.exe"

他のシステム変更

ワームは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_CLASSES_ROOT\CLSID\MADOWN

ワームは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = "2"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder\Hidden\
SHOWALL
CheckedValue = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

感染活動

ワームは、すべての物理ドライブおよびリムーバブルドライブ内に以下として自身のコピーを作成します。

• 9swdbe.exe

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[AutoRun]
open=9swdbe.exe
shell\open\Command=9swdbe.exe

バックドア活動

ワームは、バックドア活動の機能を備えていません。

プロセスの終了

ワームは、感染コンピュータ上でプロセスが常駐されていることを確認した場合、以下のいずれかの文字列を含むプロセスまたはサービスを終了します。

• VCRMON.EXE
• Update.exe
• CCSVCHST.EXE
• ALUSCHEDULERSVC.EXE
• luall.exe
• ASHDISP.EXE
• avast.setup
• setup.ovr
• EKRN.EXE
• updater.dll
• eguiEpfw.dll
• eguiEmon.dll
• ekrnEpfw.dll
• ekrnEmon.dll
• AVP.EXE
• prupdate.ppl
• AYAGENT.AYE
• AYUpdate.aye
• UFSEAGNT.EXE
• SfFnUp.exe
• UfUpdUi.exe
• AVGNT.EXE
• preupd.exe
• update.exe
• VSTSKMGR.EXE
• vsupdate.dll
• mcupdate.exe
• AVGRSX.EXE
• avgupd.exe
• avgupd.exe
• AVP.EXE

ルートキット機能

ワームは、ルートキットの機能を備えていません。

ダウンロード活動

ワームは、以下のリモートサイトから、自身のコピーの更新版／他の不正なファイルをダウンロードします。

• www.＜省略＞xh.com

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

ワームは、以下の文字列を含むプロセス／サービスを監視することによって、オンラインゲームに関連するユーザ名およびパスワードといったログイン情報を収集します。

• Altair(Non-PvP)
• Arcturus
• Canopus
• coc.exe
• Forthgoer
• pol.exe
• Ragexe.exe
• Rigel
• Sirius
• Vega(Non-PvP)

また、ワームは、以下のWebサイトおよびプロセス、レジストリキーを監視し、「Yahoo! JAPAN」の認証情報を収集します。

• Webサイト
• https://login.yahoo.co.jp/config/login_verify2?.src=ym
• https://login.yahoo.co.jp/config/login?
• プロセス
• YahooWidgetEngine.exe
• YPagerj.exe
• レジストリキー
• \Software\YahooJapan

さらに、ワームは、以下のIPアドレスへのトラフィックを監視し、情報を収集します。

• 211.13.235.228
• 211.13.235.227
• 211.13.235.226
• 211.13.235.229

ワームは、ポート80番（HTTPポート）を利用し、収集した情報を以下のリモートサイトに送信します。

• www.＜省略＞xh.com

ただし、情報公開日現在、このWebサイトにはアクセスできません。

その他

ワーム は、自身（コンピュータに侵入して最初に自身のコピーを作成したワーム）を削除します。

作成されたDLLコンポーネントファイルは、すべての実行中プロセスに組み込まれ、システムのプロセスに常駐します。

ワームは、脆弱性を利用した感染活動を行いません。