• Email
• Facebook
• Twitter
• Google+
• Linkedin

WORM_IRCBOT.AHR

---

• マルウェアタイプ: ワーム
• 破壊活動の有無: なし
• 暗号化: なし
• 感染報告の有無: はい

---

  概要

ワームは、感染ネットワーク共有フォルダを介して、コンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、ネットワーク共有フォルダを介して感染活動をします。その際、利用可能なネットワーク共有フォルダ内に自身のコピーを作成します。

ワームは、すべてのリムーバブルドライブ内に自身のコピーを作成します。

---

  詳細

侵入方法

ワームは、感染ネットワーク共有フォルダを介して、コンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、以下のファイルを作成します。

• %User Profile%\My Documents\nt.bat

(註：%User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。)

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Temp%\z1x2c3v.exe
• %User Profile%\My Documents\Windows\Windows\svchostPKS\{random number}\svchost.exe

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。. %User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。)

ワームは、以下のフォルダを作成します。

• %User Profile%\My Documents\Windows\Windows\svchostPKS
• %User Profile%\My Documents\Windows\Windows\svchostPKS\{random number}

(註：%User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。)

ワームは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• 4556654564565465665465645g1g11g1444uuu

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Windows Services = %User Profile%\My Documents\Windows\Windows\svchostPKS\{random number}\svchost.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Windows Services = %User Profile%\My Documents\Windows\Windows\svchostPKS\{random number}\svchost.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Terminal Server\
Install\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Windows Services = %User Profile%\My Documents\Windows\Windows\svchostPKS\{random number}\svchost.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\ShellServiceObjectDelayLoad
Windows Services = %User Profile%\My Documents\Windows\Windows\svchostPKS\{random number}\svchost.exe

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Shell = Explorer.exe "%User Profile%\My Documents\Windows\Windows\svchostPKS\{random number}\svchost.exe"

(註：変更前の上記レジストリ値は、「Explorer.exe」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit = %System%\userinit.exe "%User Profile%\My Documents\Windows\Windows\svchostPKS\{random number}\svchost.exe"

(註：変更前の上記レジストリ値は、「%System%\userinit.exe,」となります。)

他のシステム変更

ワームは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\DomainProfile\AuthorizedApplications\
List
%User Profile%\My Documents\Windows\Windows\svchostPKS\{random number}\svchost.exe = "%User Profile%\My Documents\Windows\Windows\svchostPKS\{random number}\svchost.exe":*:Enabled:Windows

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%User Profile%\My Documents\Windows\Windows\svchostPKS\{random number}\svchost.exe = "%User Profile%\My Documents\Windows\Windows\svchostPKS\{random number}\svchost.exe":*:Enabled:Windows

ファイル感染

ワームは、ネットワーク共有フォルダを介して感染活動をします。その際、利用可能なネットワーク共有フォルダ内に自身のコピーを作成します。

感染活動

ワームは、ピアツーピア（P2P）ネットワーク上で使用される以下のフォルダ内に自身のコピーを作成します。

• Software\rrrrrr444444444rrrrrrr445r4\rrrrrr444444444rrrrrrr445r4\Downloads
• \Downloads\
• \Downloads\e4e4e4e44e4e4344354345\Incoming\
• \Mis archivos recibidos\
• \My Shared Folder\
• \My recived files\
• \Shared\
• \a4a4a\my a4a4a\
• \e4e4e4e44e4e4344354345\incoming\
• \ffffffffff4r44r4r4r4e773773\shared folder\
• \kkkkkkkkk5hj465gh4jg5h4j8jh\files\
• \ooo5465o654o54o4o44o4oooo lite k++\my shared folder\
• \ooo5465o654o54o4o44o4oooo lite\my shared folder\
• \ooo5465o654o54o4o44o4oooo\my shared folder\
• \sdf4df65d4s44545554\my shared folder\
• \tttreww54d4d44d\shared\
• \tttttttt5t4t44t4t4t4t5t45t4\incoming\
• \ttttttttt56d456er4544344\shared\
• \zzx4x4x44s5\shared\

ワームは、ネットワーク上から以下のネットワーク共有フォルダを検索し、そのフォルダ内に自身のコピーを作成します。

• ADMIN$
• C$
• D$
• d$
• e$
• IPC$
• PRINT$

ワームは、すべてのリムーバブルドライブ内に自身のコピーを作成します。

ワームは、以下のファイル名を用いて、ネットワーク共有フォルダ内に自身のコピーを作成します。

• facebook.exe
• msn.exe
• setup.exe

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください