WORM_FLYSTUDI.B

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、特定のWebサイトにアクセスします。これにより、不正リモートユーザにワームのインストールが知らされます。また、不正なファイルがダウンロードされます。この結果、感染コンピュータは、さらなる他の脅威にさらされることとなります。

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、以下のファイルを作成します。

• %User Temp%\E_4\dp1.fne
• %User Temp%\E_4\eAPI.fne
• %User Temp%\E_4\EThread.fne
• %User Temp%\E_4\internet.fne
• %User Temp%\E_4\krnln.fnr
• %User Temp%\E_4\sock.fne

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

ワームは、以下のフォルダを作成します。

• %User Temp%\E_4

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

自動実行方法

ワームは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Windows Audio Server
Type = 10

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Windows Audio Server
Start = 2

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Windows Audio Server
ErrorControl = 1

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Windows Audio Server
ImagePath = "{malware path and file name}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Windows Audio Server
DisplayName = "Windows Audio Server"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Windows Audio Server
ObjectName = "LocalSystem"

ワームは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Windows Audio Server

ダウンロード活動

ワームは、以下の不正Webサイトにアクセスします。

• {BLOCKED}2.{BLOCKED}8.1.51:1021