JAVA_LOOBNUR.B

ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、ランダムなポートを開きます。

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、以下のファイルを作成します。

• %User Temp%\hsperfdata_{username}\{random filename}.{random file extension} - detected as TROJ_BEYOND.B
• %User Temp%\hsperfdata_{username}\{random number}

ワームは、以下のファイルを作成し実行します。

• %User Temp%\jar_cache{random number}.tmp - also detected as JAVA_LOOBNUR.B

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

ワームは、以下の無害なファイルを作成します。

• %User Temp%\hsperfdata_{username}\{system filename}.exe - Normal Java File

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

ワームは、以下のフォルダを作成します。

• %User Temp%\hsperfdata_{username}

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

他のシステム変更

ワームは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\Active Setup\Installed Components\
{CLSID}
StubPath = ""cMd.ExE /Q /c START "" /i /b JAvAw.exE -classpath "%User Temp%\jar_cache{random number}" a"

感染活動

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {removable drive letter}:\RECYCLER\{SID}\{random filename}.{random file extension}

バックドア活動

ワームは、ランダムなポートを開き、不正リモートユーザが感染コンピュータに接続できるようにします。接続されると、不正リモートユーザは、感染コンピュータ上でのコマンド実行が可能となります。

その他

ワームは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• thepiratebay.org
• msn.com
• bing.com
• alibaba.com
• paypal.com
• photobucket.com
• imageshack.us
• youporn.com
• go.com
• xhamster.com
• blogspot.com
• hotfile.com
• facebook.com
• live.com
• megaupload.com
• doubleclick.com
• apple.com
• google.com
• livejasmin.com
• adobe.com
• megavideo.com
• myspace.com
• mediafire.com
• bbc.co.uk
• amazon.com
• godaddy.com
• yieldmanager.com
• nytimes.com
• 4shared.com
• wordpress.com
• linkedin.com
• cnet.com
• conduit.com
• rapidshare.com
• about.com
• orkut.com
• microsoft.com
• craigslist.org
• flickr.com
• livejournal.com
• pornhub.com
• mozilla.com
• tube8.com
• wikipedia.org
• twitter.com
• aol.com
• cnn.com
• tumblr.com
• ebay.com
• yahoo.com
• youtube.com
• ask.com
• xvideos.com
• imdb.com