Worm.Win32.ZLOB.AGV

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ワームは、バックドア活動の機能を備えていません。

ワームは、情報収集する機能を備えていません。

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• {All Drives after %System Root%}\UCX.EXE
• %System%\UCX.EXE

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

ワームは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Apansoft

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
remotecontrol = "%System%\UCX.EXE"

他のシステム変更

ワームは、以下のファイルを削除します。

• %System%\UCX.EXE

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

ワームは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\WinSock2\Parameters
Protocol_Catalog9 =

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\WinSock2
XSTUDIO_TCPIPDOG =

ワームは、インストールの過程で以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\WinSock2\XSTUDIO_TCPIPDOG
1014 = %System%\mswsock.dll

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\WinSock2\Parameters\
Protocol_Catalog9\Catalog_Entries\000000000010
PackedCatalogItem = {Hex Values}

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\WinSock2\XSTUDIO_TCPIPDOG
1057 = %System%\vsocklib.dll

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\WinSock2\Parameters\
Protocol_Catalog9\Catalog_Entries\000000000011
PackedCatalogItem = {Hex Values}

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\WinSock2\XSTUDIO_TCPIPDOG
1058 = %System%\vsocklib.dll

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\WinSock2\XSTUDIO_TCPIPDOG
1001 = %System\mswsock.dll

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\WinSock2\Parameters\
Protocol_Catalog9\Catalog_Entries\000000000001
PackedCatalogItem = {Hex Values}

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\WinSock2\XSTUDIO_TCPIPDOG
1002 = %System%\mswsock.dll

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\WinSock2\Parameters\
Protocol_Catalog9\Catalog_Entries\000000000002
PackedCatalogItem = {Hex Values}

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\WinSock2\XSTUDIO_TCPIPDOG
1003 = %System%\mswsock.dll

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\WinSock2\Parameters\
Protocol_Catalog9\Catalog_Entries\000000000003
PackedCatalogItem = {Hex Values}

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\WinSock2\XSTUDIO_TCPIPDOG
1012 = %System%\mswsock.dll

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\WinSock2\Parameters\
Protocol_Catalog9\Catalog_Entries\000000000008
PackedCatalogItem = {Hex Values}

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\WinSock2\Parameters\
Protocol_Catalog9\Catalog_Entries\000000000012
PackedCatalogItem = {Hex Values}

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\WinSock2\XSTUDIO_TCPIPDOG
PathName = %System%\rundlll.dll

感染活動

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

バックドア活動

ワームは、バックドア活動の機能を備えていません。

ルートキット機能

マルウェアは、ルートキット機能を備えていません

ダウンロード活動

ワームは、以下のURLからファイルをダウンロードします。ワームは、ファイルが感染コンピュータ内に保存されると、ファイル名を変更します。

• http://{BLOCKED}1.{BLOCKED}w.com/rundlll2.dll

ワームは、以下のファイル名でダウンロードしたファイルを保存します。

• %System%\rundlll.dll

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

情報漏えい

ワームは、情報収集する機能を備えていません。

その他

マルウェアは、脆弱性を利用した感染活動を行いません。

＜補足＞
インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• {%System Root%より後のすべてのドライブ}\UCX.EXE
• %System%\UCX.EXE