WORM_UPDATER.AC

ワームは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

ワームは、ネットワーク共有フォルダを介して感染活動をします。その際、利用可能なネットワーク共有フォルダ内に自身のコピーを作成します。

侵入方法

ワームは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

ワームは、ネットワーク共有フォルダを経由してコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• C:\WINNT\Isass.exe
• C:\WINDOWS\Isass.exe

ワームは、以下のファイルを作成します。

• %Windows%\stm8.inf

(註：%Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)

自動実行方法

ワームは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wgautr
Type = "10"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wgautr
Start = "3"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wgautr
ErrorControl = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wgautr
ImagePath = "C:\WINDOWS\Isass.exe" or "C:\WINNT\Isass.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wgautr
DisplayName = "Windows Genuine Updater"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wgautr
ObjectName = "LocalSystem"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wgautr\Security
Security = "{hex values}"

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Local Security Authority Process = "{malware path and file name} %1"

ワームは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wgautr

感染活動

ワームは、ネットワーク共有フォルダを介して感染活動をします。その際、利用可能なネットワーク共有フォルダ内に自身のコピーを作成します。

その他

ワームは、以下の不正なWebサイトにアクセスします。

• {BLOCKED}.{BLOCKED}.65.27
• {BLOCKED}.{BLOCKED}.67.26
• {BLOCKED}.{BLOCKED}.73.27
• {BLOCKED}.{BLOCKED}.68.27
• {BLOCKED}.{BLOCKED}.133.26
• {randomly generated IP address}