• Email
• Facebook
• Twitter
• Google+
• Linkedin

WORM_PALEVO.ARL

---

• マルウェアタイプ: ワーム
• 破壊活動の有無: なし
• 暗号化: なし
• 感染報告の有無: はい

---

  概要

ワームは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。 ワームは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

---

  詳細

侵入方法

ワームは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

ワームは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Windows%\jusched.exe

(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。)

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Java developer Script Browse = %Windows%\jusched.exe

他のシステム変更

ワームは、インストールの過程で以下のレジストリキーまたはレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wuauserv
Start = 4

(註：変更前の上記レジストリ値は、「2」となります。)

ワームは、以下のレジストリ値を作成し、Windowsのファイアウォールを回避します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\DomainProfile\AuthorizedApplications\
List
%Program Files%\MSN Messenger\msnmsgr.exe = %Program Files%\MSN Messenger\msnmsgr.exe:*:Enabled:MSN Me ssenger 7.0

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
{Malware Path and File Name} = {Malware Path and File Name}:*:Enabled:1

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%Program Files%\MSN Messenger\msnmsgr.exe = %Program Files%\MSN Messenger\msnmsgr.exe:*:Enabled:MSN Messenger 7.0

感染活動

ワームは、以下のインスタントメッセンジャ（IM）を用いて標的とする受信者に自身のコピーを送信します。

• Yahoo! Messenger
• MSN Messenger
• Skype

バックドア活動

ワームは、以下のいずれかのIRCサーバに接続します。

• nuevo.{BLOCKED}ardigital.com
• server1.{BLOCKED}ootmusic.com

アドウェア活動

ワームは、以下のWebサイトにアクセスし、広告をダウンロードおよび表示します。

• http://browseusers.{BLOCKED}ce.com/Browse/Browse.aspx
• http://x.{BLOCKED}cecdn.com
• http://js.{BLOCKED}cecdn.com
• http://c3.ac-images.{BLOCKED}cecdn.com
• http://p.ic.{BLOCKED}t.com
• http://{BLOCKED}.{BLOCKED}.36.96/index.php

その他

このワームのコードから、ワームは、以下の機能を備えています。

• This worm attempts to establish connection to the following remote host on port 80:
  • {BLOCKED}.{BLOCKED}.38.168
  • {BLOCKED}.{BLOCKED}.36.96
  • {BLOCKED}.{BLOCKED}.80.58
  • {BLOCKED}.{BLOCKED}.86.23
  • {BLOCKED}.{BLOCKED}.86.30
  • {BLOCKED}.{BLOCKED}.86.37
  • {BLOCKED}.{BLOCKED}.131.147
  • {BLOCKED}.{BLOCKED}.131.148
  • {BLOCKED}.{BLOCKED}.131.149
  • {BLOCKED}.{BLOCKED}.131.150
  • {BLOCKED}.{BLOCKED}.131.156
  • {BLOCKED}.{BLOCKED}.131.163
  • {BLOCKED}.{BLOCKED}.131.174
  • {BLOCKED}.{BLOCKED}.131.181
  • {BLOCKED}.{BLOCKED}.131.182
  • {BLOCKED}.{BLOCKED}.131.187
  • {BLOCKED}.{BLOCKED}.71.154
  • {BLOCKED}.{BLOCKED}.71.166
• It tries to open port 2345 in an attempt to join any of the following IRC server:
  • server1.{BLOCKED}ootmusic.com
  • nuevo.{BLOCKED}ardigital.com
• It uses the following credentials to join the IRC server:

  PASS xxx
  NICK NEW-[USA|00|P|83944] USER XP-5814 * 0 :{Computer Name}

• Once a successful connection is established, it sends the following message that contains a link pointing to a copy of itself:

  #gf! :.m.s|.m.e is this you on pic?

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください