WORM_LOLBOT.A

ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\HEX-5823-6893-6818\jutched.exe
• %System Root%\Public\HEX-5823-6893-6818\jutched.exe (for Windows 7 and Vista)

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

ワームは、以下のファイルを作成します。

• {Drive Letter}:\{folder name}s.lnk - if the removable drive contains folders
• %System%\winrtsnr.txt

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

ワームは、以下のフォルダを作成します。

• %Application Data%\HEX-5823-6893-6818
• %System Root%\Public\HEX-5823-6893-6818 (for Windows 7 and Vista)

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

ワームは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• l0lkn0lltr0ll

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Java Update Manager = "%Application Data%\HEX-5823-6893-6818\jutched.exe"

他のシステム変更

ワームは、以下のレジストリ値を作成し、Windowsのファイアウォールを回避します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%Application Data%\HEX-5823-6893-6818\jutched.exe = "%Application Data%\HEX-5823-6893-6818\jutched.exe:*:Enabled:Java Update Manager"

感染活動

ワームは、すべてのリムーバブルドライブ内に以下のフォルダを作成します。

• {Drive Letter}:\{random digit}

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {Drive Letter}:\{random digit}\{folder name}.exe

ワームは、上記のインスタントメッセンジャ（IM）を用いて、以下のメッセージを送信します。

mira esta fotografa :D {malware download link}
seen this?? :D {malware download link}
This is the funniest photo ever! {malware download link}
olhar para esta foto :D {malware download link}
Wie findest du das Foto? {malware download link}
se ps dette bildet :D {malware download link}
bekijk deze foto :D {malware download link}
poglej to fotografijo :D {malware download link}
pogledaj to slike :D {malware download link}
titta ps denna bild :D {malware download link}
pozrite sa na to fotografiu :D {malware download link}
uita-te la aceasta fotografie :D {malware download link}
katso tStS kuvaa :D {malware download link}
bu resmi bakmak :D {malware download link}
spojrzec na to zdjecie :D {malware download link}
nTzd meg a kTpet :D {malware download link}
ser ps dette billede :D {malware download link}
podfvejte se na mou fotku :D {malware download link}
guardare quest'immagine :D {malware download link}
regardez cette photo :D {malware download link}

ワームは、以下のインスタントメッセンジャ（IM）を用いて、メッセージを送信します。このメッセージにはリンクが含まれており、リンク先のリモートサイトには、自身のコピーが組み込まれています。

• Yahoo
• XFire
• Skype
• PalTalk
• ICQ
• GTalk
• MSN

バックドア活動

ワームは、以下のポートを開き、リモートコマンドを待機します。

• 1866

ワームは、以下のいずれかのIRCサーバに接続します。

• http://{BLOCKED}ution.nicaze.net

ワームは、リモートでInternet Relay Chat （IRC）サーバにアクセスし、不正リモートユーザから以下のコマンドを受信します。

• Upload files
• Download and execute files

情報漏えい

ワームは、以下の情報を収集します。

• Host Name
• Locale Info
• OS Version