WORM_PALEVO.EQAZ

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ワームは、不正リモートユーザからリモートで受信する特定のコマンドを実行します。これにより、感染コンピュータおよび同コンピュータ上の情報は危険にさらされることとなります。 ワームは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、ネットワーク共有フォルダを経由してコンピュータに侵入します。

インストール

ワームは、以下の無害なファイルを作成します。

• %System Root%\RECYCLER\{SID}\Desktop.ini
• {Removable drive}:\vircure\Desktop.ini

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System Root%\RECYCLER\{SID}\MsMxEng.exe

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

ワームは、以下のフォルダを作成します。

• %System Root%\RECYCLER\{SID}

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

ワームは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• explorer.exe

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Taskman = "%System Root%\RECYCLER\{SID}\MsMxEng.exe"

感染活動

ワームは、すべてのリムーバブルドライブ内に以下のフォルダを作成します。

• vircure

ワームは、ピアツーピア（P2P）ネットワーク上で使用される以下のフォルダ内に自身のコピーを作成します。

• Ares Galaxy
• BearShare
• DC++
• eMule
• eMule Plus
• iMesh
• Shareaza
• Kazaa
• Limewire

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {Removable drive}:\vircure\vircure32.exe

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

;{garbage codes}
[autorun
;{garbage codes}
open=vircure/vircure32.exe
;{garbage codes}
icon=%SystemRoot%\system32\SHELL32.dll,4
;{garbage codes}
action=Open folder to view files using Windows Explorer
;{garbage codes}
USEAUToplay=1
;{garbage codes}
shell\open\\command=vircure/vircure32.exe
;{garbage codes}
shell\\explore\command=vircure/vircure32.exe
;{garbage codes}

バックドア活動

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• Perform DoS attack
• Download and execute files from a remote site
• Propagate itself via shared folders and P2P networks
• Propagate itself via MSN Messenger
• Perform port scans
• Open a remote desktop connection
• Terminate itself

ワームは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}petition.com
• {BLOCKED}eslounge.com
• {BLOCKED}lmind.cn

ただし、情報公開日現在、このWebサイトにはアクセスできません。

ワームが実行するコマンドは以下のとおりです。

• 「サービス拒否（DoS）攻撃」の実行
• リモートサイトからのファイルのダウンロードおよび実行
• ネットワーク共有フォルダおよびP2Pネットワークを介した感染活動
• インスタントメッセンジャ「MSNメッセンジャー」を介した感染活動
• ポートスキャンの実行
• 「リモートデスクトップ接続」を開く
• 自身の終了

情報漏えい

ワームは、感染コンピュータから以下の情報を収集する機能を備えています

• Mozilla Firefox により保存されたアカウント情報
• 「Protected Storage」機能により保存された個人情報
• Internet Explorer（IE）のオートコンプリート機能により保存されたパスワード

その他

ワームは、MSNメッセンジャーを介してコンピュータに侵入する場合もあります。

このワームは、自身のファイル名が "C:\file.exe" であるか、ログイン中のユーザ名が " CurrentUser " であることを確認すると、不正活動を終了します。

また、トレンドマイクロ製品では、このワームが感染活動の際に作成する "AUTORUN.INF" を「TROJ_OTORUN.SMX」として検出します。