WORM_KOLAB.DL

ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成され、コンピュータに侵入します。 ワームは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

ワームは、ネットワークドライブ内に自身のコピーを作成します。 ワームは、すべてのリムーバブルドライブ内に自身のコピーを作成します。 ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。 ワームは、ソフトウェアに存在する脆弱性を利用して、ネットワーク上で感染活動をします。

ワームは、実行後、自身を削除します。

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、ネットワーク共有フォルダを経由してコンピュータに侵入します。

ワームは、他のマルウェアに作成され、コンピュータに侵入します。

ワームは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\drivers\lsass.exe
• %Windows%\system\scrss.exe

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。. %Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)

ワームは、以下のフォルダを作成します。

• {Drive letter}:\RECYCLER\{random SID}

自動実行方法

ワームは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\rgasmcss
ImagePath = %Windows%\system\scrss.exe

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\
Windows\CURRENTVERSION\Policies\
Explorer\Run
Microsoft Driver Setup = %System%\drivers\lsass.exe

HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\
Windows\CURRENTVERSION\Run
Microsoft Driver Setup = %System%\drivers\lsass.exe

他のシステム変更

ワームは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
EnableFirewall = 0

ワームは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wscsvc
Start = 4

(註：変更前の上記レジストリ値は、「2」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wuauserv
Start = 4

(註：変更前の上記レジストリ値は、「2」となります。)

感染活動

ワームは、ネットワークドライブ内に自身のコピーを作成します。

ワームは、すべてのリムーバブルドライブ内に自身のコピーを作成します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[autorun]
;{garbage}
open=RECYCLER\{random SID}\lsass.exe
;{garbage}
icon=%windir%\system32\SHELL32.dll,4
;{garbage}
action=Open folder to view files
;{garbage}
shell\open=Open
;{garbage}
shell\open\command=RECYCLER\{random SID}\lsass.exe
;{garbage}
shell\open\default=1

or

[autorun]
open=RECYCLER\{random SID}\autorunme.exe
icon=%SystemRoot%\system32\SHELL32.dll,4
action=Open folder to view files
shell\open=Open
shell\open\command=RECYCLER\{random SID}\autorunme.exe
shell\open\default=1

ワームは、以下のソフトウェアに存在する脆弱性を利用して、ネットワーク上で感染活動をします。

• (MS08-067) Vulnerability in Server Service Could Allow Remote Code Execution (958644)

バックドア活動

ワームは、以下のいずれかのIRCサーバに接続します。

• www.msnarea.com
• www.justfacebook.net

プロセスの終了

ワームは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• FSM32.EXE
• FSMA32.EXE
• FSMB32.EXE
• GDFIRE~1.EXE
• GDFIREWALLTRAY.EXE
• GDFWSVC.EXE
• GMER.EXE
• GUARD.EXE
• GUARDXKICKOFF.EXE
• GUARDXSERVICE.EXE
• HACKMON.EXE
• HELIOS.EXE
• HFACSVC.EXE
• HIJACK-THIS.EXE
• HIJACKTHIS.EXE
• HIJACKTHIS_SFX.EXE
• HIJACKTHIS_V2.EXE
• HJ.EXE
• HJTINSTALL.EXE
• HJTSETUP.EXE
• HOOKANLZ.EXE
• HOSTSFILEREADER.EXE
• HPCSVC.EXE
• HSVCMOD.EXE
• ICESWORD.EXE
• IEFIX.EXE
• INICIO.EXE
• INSTALLWATCHPRO25.EXE
• ISSDM_EN_32.EXE
• ITMRTSVC.EXE
• JAJA.EXE
• K7EMLPXY.EXE
• K7FWSRVC.EXE
• K7PSSRVC.EXE
• K7RTSCAN.EXE
• K7SPMSRC.EXE
• K7SYSTRY.EXE
• K7TS_SETUP.EXE
• K7TSECURITY.EXE
• K7TSMNGR.EXE
• KAKASETUPV6.EXE
• KASMAIN.EXE
• KAV.EXE
• KAV32.EXE
• KAVPFW.EXE
• KAVSTART.EXE
• KAVSVC.EXE
• KILLAUTOPLUS.EXE
• KILLBOX.EXE
• KISSVC.EXE
• KPFW32.EXE
• KPFWSVC.EXE
• KVMONXP.KXP
• KVOL.EXE
• KVSRVXP.EXE
• KVXP.KXP
• KWATCH.EXE
• LISTO.EXE
• LIVESRV.EXE
• LORDPE.EXE
• MAKEREPORT.EXE
• MBAM-SETUP.EXE
• MBAM.EXE
• MCAGENT.EXE
• MCSHIELD.EXE
• MCUPDATE.EXE
• MCVSRTE.EXE
• MCVSSHLD.EXE
• MDMCLS32.EXE
• MKS_MAIL.EXE
• MKS_SCAN.EXE
• MKSADMINCONSOLE.EXE
• MKSFWALL.EXE
• MKSPC.EXE
• MKSREGMON.EXE
• MKSTRAY.EXE
• MKSUPDATE.EXE
• MKSVIRMONSVC.EXE
• MMC.EXE
• MRT.EXE
• MRTSTUB.EXE
• MSASCUI.EXE
• MSMPENG.EXE
• MSNCLEANER.EXE
• MSNFIX.EXE
• MYPHOTOKILLER.EXE
• NAVQSCAN.EXE
• NETALYZ.EXE
• NETMONSV.EXE
• NETSTAT.EXE
• NMAIN.EXE
• NOD32.EXE
• NOD32CC.EXE
• NOD32KRN.EXE
• NOD32KUI.EXE
• NOD32M2.EXE
• NPCGREENAGENT.NPC
• NSAVSVC.NPC
• NSPMAIN.EXE
• NSPSVC.EXE
• NSPUPDT.EXE
• NSPUPSVC.EXE
• NSUTILITY.EXE
• NSVMON.NPC
• NTVDM.EXE
• OBJMONSETUP.EXE
• OLLYDBG.EXE
• ONLINENT.EXE
• ONLNSVC.EXE
• OP_MON.EXE
• OTMOVEIT.EXEMBAM-SETUP.EXE
• P08PROMO.EXE
• PAVARK.EXE
• PAVBCKPT.EXE
• PAVFNSVR.EXE
• PAVPRSRV.EXE
• PAVSRV51.EXESRVLOAD.EXE
• PCTAV.EXEPCTAVSVC.EXEPXCONSOLE.EXEPXAGENT.EXERAV.EXE
• PCTSAUXS.EXE
• PCTSGUI.EXE
• PCTSSVC.EXE
• PCTSTRAY.EXE
• PENCLEAN.EXE
• PG2.EXE
• PGSETUP.EXE
• PORTDETECTIVE.EXE
• PORTMONITOR.EXE
• PPCLTPRIV.EXE
• PROCDUMP.EXE
• PROCESSMONITOR.EXE
• PROCEXP.EXE
• PROCMON.EXE
• PROJECTWHOISINSTALLER.EXE
• PSCTRLS.EXE
• PSHOST.EXE
• PSIMSVC.EXE
• PSKILL.EXE
• PSKMSSVC.EXE
• PUSCAN.EXE
• QHFW332.EXE
• QOELOADER.EXE
• QUHLPSVC.EXE
• RAVLITE.EXE
• RAVMOND.EXE
• RAVP.EXEMBAM.EXE123.COM
• RAVTASK.EXE
• REANIMATOR.EXE
• REG.EXE
• REGALYZ.EXE
• REGCOOL.EXE
• REGEDIT.COM
• REGEDIT.EXE
• REGEDIT.SCR
• REGISTRAR_LITE.EXE
• REGMON.EXE
• REGSCANNER.EXE
• REGSHOT.EXE
• REGUNLOCKER.EXETSNTEVAL.EXEXP_TASKMGRENAB.EXE
• REGX2.EXE
• RKD.EXE
• ROOTALYZER.EXE
• ROOTKIT_DETECTIVE.EXE
• ROOTKITBUSTER.EXE
• ROOTKITNO.EXE
• ROOTKITREVEALER.EXE
• RTVSCAN.EXE
• SAFEBOOTKEYREPAIR.EXEOTMOVEIT3.EXEHOSTSXPERT.EXEDAFT.EXE
• SAVADMINSERVICE.EXE
• SAVSERVICE.EXE
• SBAMSVC.EXE
• SBAMTRAY.EXE
• SBAMUI.EXE
• SCANMSG.EXE
• SCANWSCS.EXE
• SCFMANAGER.EXE
• SCFSERVICE.EXE
• SCHED.EXE
• SDFIX.EXE
• SEEM.EXE
• SENSOR.EXE
• SFCTLCOM.EXE
• SPF.EXE
• SPIDERML.EXE
• SPIDERNT.EXE
• SPIDERUI.EXE
• SPYBOTSD.EXE
• SPYBOTSD160.EXE
• SRENGLDR.EXE
• SRENGPS.EXE
• SRESTORE.EXE
• STARTDRECK.EXE
• STRTSVC.EXE
• SUPERANTISPYWARE.EXE
• SUPERKILLER.EXE
• SVCPRS32.EXE
• SYSANALYZER_SETUP.EXE
• TASKKILL.EXE
• TASKLIST.EXE
• TASKMAN.EXE
• TASKMON.EXE
• TASKSCHEDULER.EXE
• TCPVIEW.EXE
• TEATIMER.EXE
• TISSPWIZ.EXE
• TMBMSRV.EXE
• TMPFW.EXE
• TMPROXY.EXE
• TNBUTIL.EXE
• TPSRV.EXE
• TrendMicro_TISPro_16.1_1063_x32.EXE
• TSCFCOMMANDER.EXE
• UFNAVI.EXE
• UFSEAGNT.EXE
• 123.EXE
• 360HOTFIX.EXE
• 360RPT.EXE
• 360SAFE.EXE
• 360TRAY.EXE
• A2GUARD.EXE
• A2HIJACKFREE.EXE
• A2HIJACKFREESETUP.EXE
• A2SCAN.EXE
• A2SERVICE.EXE
• A2START.EXE
• ABREGMON.EXE.EXE
• ACAAS.EXE
• ACAEGMGR.EXE
• ACAIS.EXE
• ACALS.EXE
• ACS.EXE
• AFMAIN.EXE
• AHNSDSV.EXE
• ALERTMAN.EXE
• ALMON.EXE
• ALSVC.EXE
• APM.EXE
• APORTS.EXE
• APT.EXE
• APVXDWIN.EXE
• ARCABIT.CORE.CONFIGURATOR2.EXE
• ARCABIT.CORE.LOGGINGSERVICE.EXE
• ARCACHECK.EXE
• ARCAVIR.EXE
• ASHDISP.EXE
• ASHMAISV.EXE
• ASHSERV.EXE
• ASHWEBSV.EXE
• ASVIEWER.EXE
• ASWCLNR.EXE
• ASWUPDSV.EXE
• ATF-CLEANER.EXE
• AUTORUNS.EXE
• AVCENTER.EXE
• AVENGER.EXE
• AVENGINE.EXE
• AVGAMSVR.EXE
• AVGARKT.EXE
• AVGAS.EXE
• AVGEMC.EXE
• AVGNT.EXE
• AVGSCANX.EXE
• AVGUARD.EXE
• AVGUI.EXE
• AVGUPD.EXE
• AVGUPSVC.EXE
• AVGWDSVC.EXE
• AVINSTALL.EXE
• AVIRARKD.EXE
• AVKPROXY.EXE
• AVKSERVICE.EXE
• AVKTRAY.EXE
• AVKTUNERSERVICE.EXE
• AVKWCTL.EXE
• AVMENU.EXE
• AVZ.EXE
• AYAGENT.AYE
• AYSERVICENT.AYE
• BC5CA6A.EXE
• BDAGENT.EXE
• BDSS.EXE
• BOOTSAFE.EXE
• BOXMOD.EXE
• BUSCAREG.EXE
• CAFW.EXE
• CAGLOBALLIGHT.EXE
• CAPFASEM.EXE
• CAPFUPGRADE.EXE
• CATCHME.EXE
• CATEYE.EXE
• CAVASM.EXE
• CCENTER.EXE
• CCLEANER.EXE
• CCPROVSP.EXE
• CCSETUP210.EXE
• CCTRAY.EXE
• CF9409.EXE
• CFGMNG32.EXE
• CLAMTRAY.EXE
• CLAMWIN.EXE
• CMAIN.EXE
• CMDAGENT.EXE
• COMBOFIX.BAT
• COMBOFIX.COM
• COMBOFIX.EXE
• COMBOFIX.SCR
• COMMAND.COM
• COMPAQ_PROPIETARIO.EXE
• CPF.EXE
• CPORTS.EXE
• CPROCESS.EXE
• CUREIT.EXE
• DARKSPY105.EXE
• DEFWATCH.EXE
• DELAYDELFILE.EXE
• DLLCOMPARE.EXE
• DRWEB32W.EXE
• DRWEBSCD.EXE
• DUBATOOL_AV_KILLER.EXE
• ELISTA.EXE
• EMLPROUI.EXE
• EMLPROXY.EXE
• UISCAN.EXE
• ULIBCFG.EXE
• UMXAGENT.EXE
• UMXCFG.EXE
• UMXFWHLP.EXE
• UMXPOL.EXE
• UNHACKME.EXE
• UNIEXTRACT.EXE
• UNLOCKER1.8.7.EXE
• UPDATE.EXE
• UPSCHD.EXE
• VBA32-PERSONAL-LATEST-ENGLISH.EXE
• VBA32ADS.EXE
• VBA32LDR.EXE
• VIPRE.EXE
• VIRUS.EXE
• VIRUSUTILITIES.EXE
• VRFWSVC.EXE
• VRMONNT.EXE
• VRMONSVC.EXE
• VSMON.EXE
• VSSERV.EXE
• WEBPROXY.EXE
• WINDOWS-KB890930-V2.2.EXE
• WIRESHARK.EXE
• WITSETUP.EXE
• XCOMMSVR.EXE
• ZLCLIENT.EXE
• EULALYZERSETUP.EXE
• F-PROT.EXE
• F-PROT95.EXE
• F-STOPW.EXE
• FAMEH32.EXE
• FAST.EXE
• FCH32.EXE
• FIH32.EXE
• FILEALYZ.EXE
• FILEFIND.EXE
• FILELOCKSETUP.EXE
• FILEMONSV.EXE
• FIXBAGLE.EXE
• FIXPATH.EXE
• FNRB32.EXE
• FOLDERCURE.EXE
• FP-WIN.EXE
• FPAVSERVER.EXE
• FPORT.EXE
• FPROT.EXE
• FPROTTRAY.EXE
• FPWIN.EXE
• FSAA.EXE
• FSAUA.EXE
• FSAV.EXE
• FSAV32.EXE
• FSAV530STBYB.EXE
• FSAV530WTBYB.EXE
• FSAV95.EXE
• FSB.EXE
• FSBL.EXE
• FSDFWD.EXE
• FSGK32.EXE
• FSGK32ST.EXE

その他

ワームは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://www.sevy.{BLOCKED}.org/azenv.php
• http://www.{BLOCKED}ecurity.com/azenv.php
• http://www.{BLOCKED}heaven.com/azenv.php
• http://www.{BLOCKED}.net/deny2/azenv.php
• http://www.{BLOCKED}sy.com/azenv.php
• http://www.{BLOCKED}ion.com/images/azenv.php
• http://{BLOCKED}oorld.ovh.org/azenv.php
• http://{BLOCKED}orld.ifrance.com/azenv.php
• http://{BLOCKED}n.ath.cx/anon.php

ワームは、実行後、自身を削除します。

マルウェアは、ネットワーク共有フォルダ内に以下の拡張子名を使用して、自身のコピーを作成します。

• scr

マルウェアは、IRCサーバからコマンドが受信されたとき、感染コンピュータのIPアドレスを利用し、ポートをスキャンします。

　マルウェアは、アクセスが確立すると、不正リモートユーザからのコマンドを待機します。

• 自身のコピーの更新版をダウンロード
• ファイルのダウンロードと実行
• DNSキャッシュの削除
• プロセスの表示、起動、強制終了
• インスタントメッセンジャ「MSNメッセンジャー」を介しての感染活動
• ポートのスキャン
• Windows ファイアウォールの停止

マルウェアは、感染コンピュータ上でこれらのコマンドをローカルで実行します。これにより不正リモートユーザは、感染コンピュータを事実上制御することができます。

マルウェアは、OS、サービスパック、国、感染コンピュータ名などといったコンピュータの情報から生成されるニックネームやユーザ名を用いて構成した「#xx＜数値＞」で、特定のチャンネルに参加します。

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}.{BLOCKED}.161.149:8280