WORM_VESENLO.SOW

ワームは、感染リムーバブルドライブを接続することにより、コンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

ワームは、ユーザのキー入力操作情報を記録し、情報を収集します。

侵入方法

ワームは、感染リムーバブルドライブを接続することにより、コンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %User Profile%\Wins7\msmm.exe

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

ワームは、以下のファイルを作成します。

• %Start Menu%\Programs\Startups\desktop.ini - non-malicious file

(註：%Start Menu%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。)

ワームは、以下のフォルダを作成します。

• %User Profile%\Wins7
• %User Profile%\Wins7\shin
• %Start Menu%\Programs\Startups
• %User Profile%\Wins7\shin0 - dropped upon certain conditions

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。. %Start Menu%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。)

自動実行方法

ワームは、Windows起動時に自動実行されるよう＜User Startup＞フォルダ内に以下のファイルを作成します。

• %User Startup%\Sound Player.lnk

(註：%User Startup%フォルダは、Windows 98 および ME の場合、通常、"C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup"、Windows NT の場合、"C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" および "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。)

他のシステム変更

ワームは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\CurrentControlSet\services\
SharedAccess\Parameters\FirewallPolicy\
FirewallRules - Windows Vista and 7 only
{Random GUID} = "v{version number}|Action=Allow|Active=TRUE|Dir=In|Protocol=6|Profile=Private|App=%System\ftp.exe|Name=Windows%|"

HKEY_LOCAL_MACHINE\CurrentControlSet\services\
SharedAccess\Parameters\FirewallPolicy\
FirewallRules - Windows Vista and 7 only
{Random GUID 2} = "v{version number}|Action=Allow|Active=TRUE|Dir=In|Protocol=17|Profile=Private|App=%System\ftp.exe|Name=Windows%|"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List - Windows OS other than Vista and 7
%System%\ftp.exe = "%System%\ftp.exe:*:Enabled:Windows"

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\AppCompatFlags\
Layers
%System%\cmd.exe = "RUNASADMIN"

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\AppCompatFlags\
Layers
%User Profile%\Wins7\msmm,exe = "ELEVATECREATEPROCESS"

感染活動

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {drive letter}:\New.exe

作成活動

ワームは、収集した情報を保存するために以下のファイルを作成します。

• %User Profile%\Wins7\shin\sss.col - encrypted keylogs
• %User Profile%\Wins7\shin0\sss.col - encrypted keylogs. dropped upon certain conditions

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

ダウンロード活動

ワームは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• {BLOCKED}p.{BLOCKED}q.com

ワームは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Profile%\Wins7\bil.col

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

ワームは、ユーザのキー入力操作情報を記録し、情報を収集します。

情報の送信先

ワームは、以下のFTPサイトにファイルをアップロードします。

• ftp.drivehq.com