• Email
• Facebook
• Twitter
• Google+
• Linkedin

WORM_GAMETHI.GGN

---

• マルウェアタイプ: ワーム
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

ワームは、レジストリ値を変更し、システムファイルおよび読み取り専用属性のファイルを非表示にします。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ワーム マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した ワーム ）を削除します。

---

  詳細

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

インストール

ワームは、以下のコンポーネントファイルを作成します。

• %System%\jpking0.dll - also detected as WORM_GAMETHI.GGN
• %User Temp%\4tddfwq0.dll - also detected as WORM_GAMETHI.GGN

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。. %User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\jpking.exe
• %User Temp%\xvassdf.exe

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。. %User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
king_jp = "%System%\jpking.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
54dfsger = "%User Temp%\xvassdf.exe"

他のシステム変更

ワームは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_CLASSES_ROOT\CLSID\MADOWN

ワームは、以下のレジストリ値を変更し、システムファイルおよび読み取り専用属性のファイルを非表示にします。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = 2

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = 0

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder\Hidden\
SHOWALL
CheckedValue = 0

(註：変更前の上記レジストリ値は、「1」となります。)

感染活動

ワームは、すべての物理ドライブおよびリムーバブルドライブ内に以下として自身のコピーを作成します。

• puia6h.exe

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[AutoRun]
open=puia6h.exe
shell\open\Command=puia6h.exe

プロセスの終了

ワームは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• ALUSCHEDULERSVC.EXE
• ASHDISP.EXE
• AVGNT.EXE
• AVGRSX.EXE
• AVP.EXE
• AYAGENT.AYE
• AYUpdate.aye
• CCSVCHST.EXE
• EKRN.EXE
• SfFnUp.exe
• UFSEAGNT.EXE
• UfUpdUi.exe
• Update.exe
• VCRMON.EXE
• VSTSKMGR.EXE
• avast.setup
• avgupd.exe
• eguiEmon.dll
• eguiEpfw.dll
• ekrnEmon.dll
• ekrnEpfw.dll
• luall.exe
• mcupdate.exe
• preupd.exe
• prupdate.ppl
• setup.ovr
• update.exe
• updater.dll
• vsupdate.dll

ダウンロード活動

ワームは、以下のWebサイトから自身のコピーの更新版をダウンロードします。

• http://www.{BLOCKED}d3.com/1rb/ar1.rar
• http://www.{BLOCKED}os.com/1rb/ar.rar
• http://www.{BLOCKED}os.com/1rb/ar1.rar
• http://www.{BLOCKED}js.com/1rb/ar.rar
• http://www.{BLOCKED}js.com/1rb/ar1.rar

その他

ワーム は、自身（コンピュータに侵入して最初に自身のコピーを作成した ワーム ）を削除します。

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください