WORM_KELIHOS.FM

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、以下のファイルを作成します。

• {Drive Letter}:\Shortcut to {random file name}.lnk
• {Drive Letter}:\{Folder name}.lnk - if folder exists

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{random parameter 1}{random parameter 2} = "{malware path and file name}"

他のシステム変更

ワームは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
DefaultCompressedRecord = "{random value}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
RecordModifiedMax = "{random value}=="

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
FlagsModifiedValid = "0"

HKEY_CURRENT_USER\Software\TansuTCP
ActiveModifiedTheme = "{random value}"

HKEY_CURRENT_USER\Software\TansuTCP
SizeCompletedValid = "{random value}=="

HKEY_CURRENT_USER\Software\TansuTCP
InfoPlayedCurrent = "0"

感染活動

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {Drive Letter}:\{random file name}.exe

その他

ワームは、以下の不正なWebサイトにアクセスします。

• {BLOCKED}.{BLOCKED}.21.170/login.htm
• {BLOCKED}.{BLOCKED}.220.200/search.htm

ワームは、すべてのリムーバブルドライブ内に "{Drive Letter}:\{random file name}.exe" として自身のコピーを作成します。"{random file name}" には、以下のいずれかが該当します。

• click
• game
• hentai
• installer
• password
• porn
• run
• sas
• screensaver

ワームは、リムーバブルドライブ内の自身のコピーに誘導するショートカットファイル（拡張子LNK）も作成します。なお、作成したショートカットファイル名には、リムーバブルドライブ内に存在するフォルダ名を使用します。そしてワームは、名称を借用した実際のフォルダの方は、属性を「隠しファイル」に設定し、作成したショートカットファイルをクリックさせようとします。

ワームの自動実行に関連するレジストリ「{random parameter 1}」には、以下のいずれかが該当します。

• Updater
• Checker
• Notifyer
• Saver
• Verifyer
• Informer

ワームの自動実行に関連するレジストリ「{random parameter 2}」には、以下のいずれかが該当します。

• CrashReport
• Database
• Desktop
• Icon
• Media
• Network
• Time
• Tray
• Video

例：

• CrashReportUpdater
• NetworkVerifyer
• TrayNotifyer