WORM_PROLACO
Windows 2000, Windows XP, Windows Server 2003
- マルウェアタイプ: ワーム
- 破壊活動の有無: なし
- 暗号化:
- 感染報告の有無: はい
概要
これは、複数の「WORM_PROLACO」の亜種を解析した結果に基づいた説明です。ファイル名およびレジストリ値といった具体的な情報は、亜種によって異なります。
ワームは、大量送信されたスパムメールに添付されて、コンピュータに侵入します。 ワームは、ピアツーピア（P2P）の共有フォルダを介してコンピュータに侵入します。 ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成され、コンピュータに侵入します。 ワームは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。
ワームは、感染コンピュータに接続しているすべてのリムーバブルドライブ内に自身のコピーを作成します。 ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。
ワームは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。
ワームは、作成したファイルを実行します。
詳細
侵入方法
ワームは、大量送信されたスパムメールに添付されて、コンピュータに侵入します。
ワームは、P2Pの共有フォルダを介してコンピュータに侵入します。
ワームは、リムーバブルドライブを介してコンピュータに侵入します。
ワームは、他のマルウェアに作成され、コンピュータに侵入します。
ワームは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。
インストール
ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。
- %System%\{malware file name}.exe
(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)
ワームは、以下のフォルダを作成します。
- %Application Data%\SystemProc
(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)
自動実行方法
ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random} = "%System%\{malware file name}.exe"
他のシステム変更
ワームは、以下のレジストリキーを追加します。
HKEY_CURRENT_USER\Software\Microsoft\
{random}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
{random}
ワームは、以下のレジストリ値を追加します。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
{random} = "%System%\{malware file name}.exe"
感染活動
ワームは、ピアツーピア（P2P）ネットワーク上で使用される以下のフォルダ内に自身のコピーを作成します。
- %Program Files%\emule\incoming\
- %Program Files%\grokster\my grokster\
- %Program Files%\icq\shared folder\
- %Program Files%\limewire\shared\
- %Program Files%\morpheus\my shared folder\
- %Program Files%\tesla\files\
- %Program Files%\bearshare\shared\
- %Program Files%\edonkey2000\incoming\
- %Program Files%\kazaa lite k++\my shared folder\
- %Program Files%\kazaa lite\my shared folder\
- %Program Files%\kazaa\my shared folder\
- %Program Files%\winmx\shared\
- %System Root%\Downloads\
- %User Profile%\My Documents\Frostwire\shared
(註：%Program Files%は、標準設定では "C:\Program Files" です。. %System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。)
ワームは、感染コンピュータに接続しているすべてのリムーバブルドライブ内に自身のコピーを作成します。
ワームは、以下のファイル名を用いて、ネットワーク共有フォルダ内に自身のコピーを作成します。
- AVS Video Converter v6.3.1.365 CRACKED.exe
- Ad-aware 2010.exe
- Adobe Acrobat Reader keygen.exe
- Adobe Illustrator CS4 crack.exe
- Adobe Photoshop CS5 crack.exe
- Alcohol 120 v1.9.7.exe
- Anti-Porn v13.5.12.29.exe
- AnyDVD HD v.6.3.1.8 Beta incl crack.exe
- Ashampoo Snap 3.02.exe
- BitDefender AntiVirus 2010 Keygen.exe
- Blaze DVD Player Pro v6.52.exe
- CleanMyPC Registry Cleaner v6.02.exe
- DVD Tools Nero 10.5.6.0.exe
- Daemon Tools Pro 4.50.exe
- Divx Pro 7 + keymaker.exe
- Download Accelerator Plus v9.exe
- Download Boost 2.0.exe
- G-Force Platinum v3.7.5.exe
- Google SketchUp 7.1 Pro.exe
- Grand Theft Auto Episodes From Liberty City 2010.exe
- Image Size Reducer Pro v1.0.1.exe
- Internet Download Manager V5.exe
- K-Lite Mega Codec v5.5.1.exe
- K-Lite Mega Codec v5.6.1 Portable.exe
- Kaspersky AntiVirus 2010 crack.exe
- LimeWire Pro v4.18.3.exe
- MagicISO Magic ISO Maker v5.5.0276 Cracked.exe
- McAfee Total Protection 2010.exe
- Microsoft.Windows 7 ULTIMATE FINAL activator+keygen x86.exe
- Motorola, nokia, ericsson mobil phone tools.exe
- Mp3 Splitter and Joiner Pro v3.48.exe
- Myspace theme collection.exe
- Nero 9 9.2.6.0 keygen.exe
- Norton Anti-Virus 2010 crack.exe
- Norton Internet Security 2010 crack.exe
- PDF Unlocker v2.0.3.exe
- PDF password remover (works with all acrobat reader).exe
- PDF to Word Converter 3.0.exe
- PDF-XChange Pro.exe
- Power ISO v4.2 + keygen axxo.exe
- RapidShare Killer AIO 2010.exe
- Rapidshare Auto Downloader 3.8.exe
- Sony Vegas Pro v9.0a incl crack.exe
- Sophos antivirus updater bypass.exe
- Starcraft2 REGION-UNLOCKER.exe
- Starcraft2 SERVER-CHANGER.exe
- Starcraft2 battle.net key generator.exe
- Starcraft2 battle.net keys.txt.exe
- Starcraft2.exe
- Super Utilities Pro 2009 11.0.exe
- Total Commander7 license+keygen.exe
- Trojan Killer v2.9.4173.exe
- Tuneup Ultilities 2010.exe
- Twitter FriendAdder 2.1.1.exe
- Uniblue RegistryBooster 2010.exe
- VmWare 7.0 keygen.exe
- VmWare keygen.exe
- WinRAR v3.x keygen RaZoR.exe
- Winamp.Pro.v7.33.PowerPack.Portable+installer.exe
- Windows 2008 Enterprise Server VMWare Virtual Machine.exe
- Windows 7 Ultimate keygen.exe
- Windows XP PRO Corp SP3 valid-key generator.exe
- Windows2008 keygen and activator.exe
- YouTubeGet 5.4.exe
- Youtube Music Downloader 1.0.exe
ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。
ワームは、ドメイン名の先頭に以下の文字列を追記し、利用可能なSMTPサーバを検索します。
- gate.
- mail.
- mail1.
- mailmx
- mx0
- mx1.
- mxs.
- ns.
- relay.
- smtp.
ワームは、自身のSMTPエンジンを用いてＥメールを送信する機能を備えています。その際、送信されるメールには、トロイの木馬型もしくはJavaScript系のマルウェア（ダウンローダ）が添付されています。添付の詳細は以下のとおりです。
- From:
• e-cards@hallmark.com
• invitations@twitter.com
• invitations@hi5.com
• order-update@amazon.com
• resume-thanks@google.com
• update@facebookmail.com - Subject:
• You have received A Hallmark E-Card!
• Your friend invited you to Twitter!
• Laura would like to be your friend on hi5!
• Shipping update for your Amazon.com order.
• Thank you from Google!
• You have got a new message on Facebook!
ワームは、以下の文字列を含むＥメールアドレスにはメッセージを送信しません。
- abuse
- acd-group
- acdnet.com
- acdsystems.com
- acketst
- admin
- ahnlab
- alcatel-lucent.com
- anyone
- apache
- arin.
- avg.comsysinternals
- avira
- badware
- berkeley
- bitdefender
- bluewin.ch
- borlan
- bpsoft.com
- buyrar.com
- certific
- cisco
- clamav
- contact
- debian
- drweb
- eset.com
- example
- f-secure
- firefox
- ghisler.com
- gold-certs
- honeynet
- honeypot
- ibm.com
- icrosoft
- idefense
- ikarus
- immunityinc.com
- inpris
- isc.o
- isi.e
- jgsoft
- kaspersky
- kernel
- lavasoft
- linux
- listserv
- mcafee
- messagelabs
- mit.e
- mozilla
- mydomai
- nobody
- nodomai
- noone
- nothing
- novirusthanks
- ntivi
- nullsoft.org
- panda
- postmaster
- prevx
- privacy
- qualys
- quebecor.com
- rating
- redhat
- rfc-ed
- ruslis
- sales
- samba
- samples
- secur
- security
- sendmail
- service
- slashdot
- somebody
- someone
- sopho
- sourceforge
- ssh.com
- submit
- sun.com
- support
- syman
- tanford.e
- the.bat
- usenet
- utgers.ed
- virus
- virusbuster
- webmaster
- websense
- winamp
- winpcap
- wireshark
- www.ca.com
ルートキット機能
ワームは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。
プロセスの終了
ワームは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。
- APVXDWIN
- AVG8_TRA
- AVP
- AntiVirScheduler
- Arrakis3
- BDAgent
- CAVRID
- CaCCProvSP
- DrWebSch
- ERSvc
- Ehttpsrvekrn
- Emproxy
- F-PROT Antivirus Tray application
- FPAVServ
- GWMSRV
- ISTray
- K7EmlPxy
- K7RTScan
- K7SystemTray
- K7TSMngr
- K7TSStar
- LIVESRV
- LiveUpdate Notice Service
- MCNASVC
- MPFSERVICE
- MPS9
- McAfee HackerWatch Service
- McENUI
- MskAgentexe
- OfficeScanNT Monitor SpamBlocker
- PANDA SOFTWARE CONTROLLER
- PAVFNSVR
- PAVPRSRV
- PAVSVR
- PSHOST
- PSIMSVC
- PSKSVCRE
- RSCCenter
- RSRavMon
- RavTask
- SAVScan
- SBAMTra
- SCANINICIO
- Savadmin
- Savservice
- Service
- Sophos Autoupdate Service
- SpIDerMail
- Spam Blocker for Outlook Express
- Symantec Core LCccEvtMgr
- TAIL
- TPSRV
- ThreatFire
- VSSERV
- WerSvc
- WinDefend
- Windows Defender
- XCOMM
- antivirservice
- aswupdsv
- avast
- avast! Antivirus
- avast! Mail Scanner
- avast! Web Scanner
- avg8emc
- avg8wd
- bdss
- ccproxy
- ccpwdsv
- ccsetmg
- cctray
- eduler
- egui
- liveupdate
- mcODS
- mcmisupdmgr
- mcmscsvc
- mcpromgr
- mcproxy
- mcredirector
- mcshield
- mcsysmon
- msk80service
- navapsvc
- npfmntor
- nscservice
- sbamsvc
- sbamui
- scan
- sdauxservice
- sdcodeservice
- service
- sndsrvc
- spbbcsvc
- wscsvc
作成活動
ワームは、以下のファイルを作成します。
- {malware path}\{malware file name}.exe - detected as another malware
ワームは、作成したファイルを実行します。
その他
ワームは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。
- http://whatsmyip.com
ワームは、以下のWebサイトにアクセスして不正なファイルをダウンロードします。
- http://www.{BLOCKED}ne.net
- http://{BLOCKED}x.com/se.php
- http://{BLOCKED}llqz.com/inst.php
- http://{BLOCKED}on7.com/update.php
- http://{BLOCKED}.com/update.php
- http://{BLOCKED}.com/update.php
- http://{BLOCKED}ebox.com/update.php
これは、複数の「WORM_PROLACO」の亜種を解析した結果に基づいた説明です。ファイル名およびレジストリ値といった具体的な情報は、亜種によって異なります。
対応方法
トレンドマイクロのお客様：
最新のバージョン（パターンファイル and エンジン）を導入したセキュリティ対策製品を用い、ウイルス検索を実行してください。検出したファイルはすべて「削除」し、検出したウイルスはすべて「駆除」してください。削除対象となるファイルには、トロイの木馬型不正プログラムやスクリプト系、上書き感染型ウイルス（overwriting virus）、ジョーク・プログラムなど「駆除」できない不正プログラムがあげられ、これらのファイルを検出した場合は、すべて「削除」してください。
インターネットをご利用の皆様：
- トレンドマイクロの「オンラインスキャン」を使って、あなたの PC がウイルスに侵されていないかどうかを簡単にチェックすることが可能です。オンラインスキャンはあなたのコンピュータの中に不正なプログラムが存在するかどうかをチェックします。
- 今日、PCやネットワークをセキュリティ上の脅威から守り、安全なIT環境を維持するためには、セキュリティ製品を活用することが最も有効な方法となっています。トレンドマイクロは、一般の個人ユーザだけでなく、企業ユーザやインターネット・サービス・プロバイダ（ISP）向けに、ウイルス対策製品やコンテンツセキュリティ対策をご提供しています。トレンドマイクロの製品・サービスについては、こちらをご参照ください。
ご利用はいかがでしたか？ アンケートにご協力ください