WORM_ACKANTTA.C

ワームは、感染コンピュータにMozillaが提供する無料メールソフト "Thunderbird" がインストールされているかを確認します。ワームは、ファイル "prefs.js" を確認することでThunderbirdが使用しているSMTPサーバを確認します。そしてワームは、そのSMTPサーバを利用し、収集したEメールアドレスに自身のコピーを含むEメールを送信します。

ワームは、ダウンロードする機能を備えていません。

ワームは、情報収集する機能を備えていません。

ワームは、大量送信されたスパムメールに添付されて、コンピュータに侵入します。 ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、すべてのリムーバブルドライブ内に自身のコピーを作成します。 ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ワームは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

ワームは、作成されたファイルを実行します。

侵入方法

ワームは、大量送信されたスパムメールに添付されて、コンピュータに侵入します。

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、ネットワーク共有フォルダを経由してコンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\AdobeAQM.exe

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

ワームは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• AdobeAQM.exe{random characters}

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Adobe Updater 7.2 = "%System%\AdobeAQM.exe"

他のシステム変更

ワームは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\AdobeARM7

HKEY_LOCAL_MACHINE\SOFTWARE\AdobeARM7

ワームは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer
gnome1ass = "12"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer
gnome2ass = "22"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%System%\AdobeAQM.exe = "%System%\AdobeAQM.exe:*:Enabled:Explorer"

感染活動

ワームは、すべてのリムーバブルドライブ内に以下のフォルダを作成します。

• {drive letter}:\RECYCLER
• {drive letter}:\RECYCLER\S-1-6-21-2434476521-1645641927-702000330-1542

ワームは、ピアツーピア（P2P）ネットワーク上で使用される以下のフォルダ内に自身のコピーを作成します。

• %Program Files%\icq\shared folder
• %Program Files%\grokster\my grokster
• %Program Files%\emule\incoming
• %Program Files%\morpheus\my shared folder
• %Program Files%\limewire\shared
• %Program Files%\tesla\files
• %Program Files%\winmx\shared
• %System Root%\Downloads
• Kazaa Download Directory
• DC++ Download Directory
• Frostwire Download Directory

(註：%Program Files%は、標準設定では "C:\Program Files" です。. %System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

ワームは、ネットワーク上から以下のネットワーク共有フォルダを検索し、そのフォルダ内に自身のコピーを作成します。

• C$
• D$
• E$
• admin$

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {drive letter}:\RECYCLER\S-1-6-21-2434476521-1645645927-702000330-1542\autorun.exe

ワームは、すべてのリムーバブルドライブ内に自身のコピーを作成します。

ワームは、以下のファイル名を用いて、ネットワーク共有フォルダ内に自身のコピーを作成します。

• CCleaner.exe
• Firefox.exe
• KB.exe
• LoveLetter.doc.exe
• Readme.exe
• Runme.exe
• WindowsUpdate.exe
• WorldOfWarcraft.exe
• banklogins.doc.exe
• cashflow.pdf.exe
• creditcards.xls.exe
• payroll.doc.exe
• salaries.txt.exe

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[autorun]
open=RECYCLER\S-1-6-21-2434476521-1645645927-702000330-1542\autorun.exe
icon=%SystemRoot%\system32\SHELL32.dll,4
action=Open folder to view files
shell\open=Open
shell\open\command=RECYCLER\S-1-6-21-2434476521-1645645927-702000330-1542\autorun.exe
shell\open\default=1

ワームは、以下のユーザ名およびパスワードを用いて、パスワード保護された共有フォルダにアクセスします。

• 00000
• 000000
• 0000000
• 00000000
• 12345
• 123456
• 1234567
• 12345678
• 123456789
• Admin
• Password
• abc123
• access
• admin
• admin
• admin1
• admin2
• administrator
• alpha
• anonymous
• asdfgh
• backdoor
• backup
• coffee
• computer
• database
• debug
• default
• guest
• guest
• hello
• iloveyou
• install
• internet
• letmein
• login
• manager
• money
• monitor
• network
• newpass
• nicole
• nobody
• nopass
• oracle
• owner
• passwd
• password
• princess
• private
• public
• qwerty
• random
• remote
• rockyou
• secret
• secure
• security
• server
• setup
• shadow
• super
• system
• test1
• test2
• visitor
• windows

ワームは、以下の拡張子を持つファイルからＥメールアドレスを収集します。

• .asp
• .dbx
• .doc
• .htm
• .log
• .lst
• .nfo
• .php
• .rtf
• .txt
• .wab
• .wpd
• .wps
• .xls
• .xml

ワームは、以下の文字列を含むＥメールアドレスにはメッセージを送信しません。

• abuse
• acd-group
• acdnet.com
• acdsystems.com
• acketst
• admin
• ahnlab
• alcatel-lucent.com
• anyone
• apache
• arin.
• avg.comsysinternals
• avira
• badware
• berkeley
• bitdefender
• bluewin.ch
• borlan
• bpsoft.com
• buyrar.com
• certific
• cisco
• clamav
• contact
• debian
• drweb
• eset.com
• example
• f-secure
• firefox
• ghisler.com
• gold-certs
• honeynet
• honeypot
• ibm.com
• icrosoft
• idefense
• ikarus
• immunityinc.com
• inpris
• isc.o
• isi.e
• jgsoft
• kaspersky
• kernel
• lavasoft
• linux
• linux
• listserv
• mcafee
• messagelabs
• mit.e
• mozilla
• mydomai
• nobody
• nodomai
• noone
• nothing
• novirusthanks
• ntivi
• nullsoft.org
• panda
• postmaster
• prevx
• privacy
• qualys
• quebecor.com
• rating
• redhat
• rfc-ed
• ruslis
• sales
• samba
• samples
• secur
• secur
• security
• security
• sendmail
• service
• slashdot
• somebody
• someone
• sopho
• sourceforge
• ssh.com
• submit
• sun.com
• support
• syman
• tanford.e
• the.bat
• usenet
• utgers.ed
• virus
• virusbuster
• webmaster
• websense
• winamp
• winpcap
• wireshark
• www.ca.com

ルートキット機能

ワームは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

作成活動

ワームは、以下のファイルを作成します。

• %System%\adobeflv.exe - detected as TROJ_RENOS.BKE
• %System%\adobemkv.exe - detected as TROJ_HILOTI.FP

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

ワームは、作成されたファイルを実行します。

ダウンロード活動

ワームは、ダウンロードする機能を備えていません。

情報漏えい

ワームは、情報収集する機能を備えていません。

その他

ワームは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://whatismyip.com/automation/n09230945.asp

ワームは、感染活動の1つとして、自身のコピーを含むEメールを送信します。送信方法は以下のとおりです。

ワームは、感染コンピュータにMozillaが提供する無料メールソフト "Thunderbird" がインストールされているかを確認します。ワームは、以下のファイルを確認することでThunderbirdが使用しているSMTPサーバを確認します。

• prefs.js

そしてワームは、そのSMTPサーバを利用し、上述の方法で収集したEメールアドレスに自身のコピーを含むEメールを送信します。

また、ワームは、以下のレジストリ値の存在を確認し、感染コンピュータで使用されているSMTPサーバを確認します。

HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts
SMTP Server = ""

これらの方法によってSMTPサーバが確認されなかった場合、上述の特定の拡張子を持つファイルから収集したEメールアドレスに含まれるドメイン名と以下の接頭辞を用いて、感染コンピュータのSMTPサーバを推測します。

• mail.
• smtp.
• mx1.
• mxs.
• mail1.
• relay.
• ns.
• gate.

そしてワームは、スレッドを作成し、このスレッドを利用して自身のSMTPエンジンを作成します。

このSMTPエンジンは、感染コンピュータから収集したSMTPサーバを利用し、上述の方法で収集したEメールアドレスに自身のコピーを含むEメールを送信します。

ワームは、以下のレジストリキーに問い合わせを行い、Windows のアドレス帳（WAB）の保存先を確認することによっても、Eメールアドレスを収集します。

HKEY_CURRENT_USER\Software\Microsoft\WAB\WAB4\
＜WABファイルのファイル名＞

ワームは、感染活動の別の方法として、P2Pネットワークで使用されるフォルダ内に自身のコピーを作成します。このワームは、上記「感染活動」で述べたフォルダ内に自身のコピーを作成しますが、それらのコピーには以下のファイル名が用いられます。

• Ad-aware 2010.exe
• Adobe Acrobat Reader keygen.exe
• Adobe Illustrator CS4 crack.exe
• Adobe Photoshop CS5 crack.exe
• Alcohol 120 v1.9.7.exe
• Anti-Porn v13.5.12.29.exe
• AnyDVD HD v.6.3.1.8 Beta incl crack.exe
• Ashampoo Snap 3.02.exe
• AVS Video Converter v6.3.1.365 CRACKED.exe
• BitDefender AntiVirus 2010 Keygen.exe
• Blaze DVD Player Pro v6.52.exe
• CleanMyPC Registry Cleaner v6.02.exe
• Daemon Tools Pro 4.50.exe
• Divx Pro 7 + keymaker.exe
• Download Accelerator Plus v9.exe
• Download Boost 2.0.exe
• DVD Tools Nero 10.5.6.0.exe
• G-Force Platinum v3.7.5.exe
• Google SketchUp 7.1 Pro.exe
• Grand Theft Auto Episodes From Liberty City 2010.exe
• Image Size Reducer Pro v1.0.1.exe
• Internet Download Manager V5.exe
• K-Lite Mega Codec v5.5.1.exe
• K-Lite Mega Codec v5.6.1 Portable.exe
• Kaspersky AntiVirus 2010 crack.exe
• LimeWire Pro v4.18.3.exe
• MagicISO Magic ISO Maker v5.5.0276 Cracked.exe
• McAfee Total Protection 2010.exe
• Microsoft.Windows 7 ULTIMATE FINAL activator+keygen x86.exe
• Motorola, nokia, ericsson mobil phone tools.exe
• Mp3 Splitter and Joiner Pro v3.48.exe
• Myspace theme collection.exe
• Nero 9 9.2.6.0 keygen.exe
• Norton Anti-Virus 2010 crack.exe
• Norton Internet Security 2010 crack.exe
• PDF password remover (works with all acrobat reader).exe
• PDF to Word Converter 3.0.exe
• PDF Unlocker v2.0.3.exe
• PDF-XChange Pro.exe
• Power ISO v4.2 + keygen axxo.exe
• Rapidshare Auto Downloader 3.8.exe
• RapidShare Killer AIO 2010.exe
• Sony Vegas Pro v9.0a incl crack.exe
• Sophos antivirus updater bypass.exe
• Starcraft2 battle.net key generator.exe
• Starcraft2 battle.net keys.txt.exe
• Starcraft2 REGION-UNLOCKER.exe
• Starcraft2 SERVER-CHANGER.exe
• Starcraft2.exe
• Super Utilities Pro 2009 11.0.exe
• Total Commander7 license+keygen.exe
• Trojan Killer v2.9.4173.exe
• Tuneup Ultilities 2010.exe
• Twitter FriendAdder 2.1.1.exe
• Uniblue RegistryBooster 2010.exe
• VmWare 7.0 keygen.exe
• VmWare keygen.exe
• Winamp.Pro.v7.33.PowerPack.Portable+installer.exe
• Windows 2008 Enterprise Server VMWare Virtual Machine.exe
• Windows 7 Ultimate keygen.exe
• Windows XP PRO Corp SP3 valid-key generator.exe
• Windows2008 keygen and activator.exe
• WinRAR v3.x keygen RaZoR.exe
• Youtube Music Downloader 1.0.exe
• YouTubeGet 5.4.exe

さらに、ワームは、ネットワークドライブにアクセスし、拡張子「EXE」および「MSI」のファイルを検索します。正規プログラムである "Wextract" および "Iexpress" を用いて、ワームは、「Win32 Cabinet Self-Extractor（Win32 キャビネット自己展開ツール）」を作成します。この作成されたWin32 キャビネット自己展開ツールには、このワームのコピーおよび、このワームがネットワークドライブ内で検索したEXEファイルまたはMSIファイルを含みます。そしてワームは、オリジナルのファイルを削除し、作成したキャビネット自己展開ツールに置き換えます。この作成されたツールを実行すると、ドライブ内で確認したEXEファイルまたはMSIファイル、およびこのワームのコピーが実行されることとなります。この作成されたWin32 キャビネット自己展開ツールは、トレンドマイクロの製品では「TROJ_DRPLACO.SM1」として検出されます。

ワームは、脆弱性を利用した感染活動を行いません。