WORM_IRCBOT.LZC

ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\svchosts.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

ワームは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• XhLyHzKTnU57

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Microsoft Corp = "%Application Data%\svchosts.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Microsoft Corp = "%Application Data%\svchosts.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer\Run
Microsoft Corp = "%Application Data%\svchosts.exe"

他のシステム変更

ワームは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer\Run

感染活動

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {Removable Drive}:\SYSTEM.EXE

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

;{garbage}
[aUToRun]
;{garbage}
OpEN=SYSTEM.EXE
;{garbage}
ICoN=%wINdIr%\\\\sYStEM32\\\\\sHeLL32.dLL,4
;{garbage}
aCTIoN=Open folder and view files using Windows Explorer
;{garbage}
sHeLL\\\\\\oPEN=Open
;{garbage}
ShELL\\\\oPEN\\\cOMMaNd=SYSTEM.EXE
;{garbage}
uSEAUTopLaY = 1
;{garbage}
ShElL\\\\\\eXpLorE\\\CoMmAnD=SYSTEM.EXE
;{garbage}

バックドア活動

ワームは、以下のいずれかのIRCサーバに接続します。

• {BLOCKED}et.in

ワームは、以下のいずれかのIRCチャンネルに接続します。

• #SKuffLe#

ただし、情報公開日現在、このWebサイトにはアクセスできません。

ワームは、リモートでInternet Relay Chat （IRC）サーバにアクセスし、不正リモートユーザから以下のコマンドを受信します。

• Initiate MSN Propagation
• Uninstall itself
• Join IRC server
• Download and execute arbitrary files
• Get visited pages from Internet Explorer

ダウンロード活動

ワームは、以下のファイル名でダウンロードしたファイルを保存します。

• C:\a.zip
• %Application Data%\nigga.bat - Downloaded via backdoor command

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

情報漏えい

ワームは、以下の情報を収集します。

• Affected machine's visited websites in Internet Explorer

その他

ワームは、自身のIRCサーバにアクセスする際に以下の認証情報を利用します。

• NICK {country}{OS version}{00}{random numbers}
• USER {country}{OS version}{00}{random numbers} "lol" :skuffs

ワームが作成する自身のコピーの属性は、隠しファイルおよび読み取り専用です。

ワームが作成する "AUTORUN.INF" は、「INF_IRCBOT.LZC」として検出されます。

ワームは、ルートキット機能を備えていません。

ワームは、脆弱性を利用した感染活動を行いません。

ワームが実行するコマンドは、以下のとおりです。

• インスタントメッセンジャ「MSNメッセンジャー」を介した感染活動の開始
• 自身のアンインストール
• IRCサーバに参加
• 任意のファイルのダウンロードおよび実行
• Internet Explorer（IE)より閲覧したWebページの取得

以下として保存されるファイルは、このワームがバックドアコマンドによりダウンロードするファイルです。

• %Application Data%\nigga.bat

ワームが収集する情報は、以下のとおりです。

• 感染コンピュータがIEで閲覧したWebサイト

ワームが自身のIRCサーバにアクセスする際に利用する認証情報は、以下のとおりです。

• ニックネーム：＜国＞＜オペレーティングシステム（OS）の種類＞{00}＜ランダムな数値＞
• ユーザ：＜国＞＜OSの種類＞{00}＜ランダムな数値＞ "lol" :skuffs