WORM_PALEVO.QKPN

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、実行後、自身を削除します。

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、以下のフォルダを作成します。

• %Program Files%\Common Files\Plugins
• %Temp%\10.tmp

(註：%Program Files%フォルダは、Windows 2000、Server 2003、XP (32ビット)、通常 Vista (32ビット) および 7 (32ビット) の場合、通常 "C:\Program Files"、Windows XP (64ビット)、Vista (64ビット) および 7 (64ビット) の場合、通常 "C:\Program Files (x86)" です。. %Temp%フォルダは、標準設定では "C:\Windows\Temp" です。)

自動実行方法

ワームは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\V3Vate\Parameters

他のシステム変更

ワームは、以下のファイルを改変します。

• %System%\drivers\etc\hosts

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

ワームは、以下のファイルを削除します。

• %Temp%\10.tmp
• %System%\drivers\etc\hosts.del

(註：%Temp%フォルダは、標準設定では "C:\Windows\Temp" です。. %System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

ワームは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\SvcHost
V3Vate = "V3Vate"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\V3Vate
Description = "Vate mornitor for V3 AntiVirius"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\V3Vate
DisplayName = "V3 Vate"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\V3Vate
ErrorControl = "1"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\V3Vate
Group = "Com Infrastructure"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\V3Vate
ObjectName = "LocalSystem"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\V3Vate
Start = "2"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\V3Vate
Type = "1"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\V3Vate
FailureAction = "{random values}"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\V3Vate
ImagePath = "%SystemRoot%\system32\svchost -k V3Vate"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\V3Vate\Parameters
ServiceDll = "%System%\V3Vate32.dll"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\V3Vate\Parameters
ServiceMain = "UnicodeMain"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
DataAccess
xyz = "{malware path and file name}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
DataAccess
vpn = "216.172.157.147"

作成活動

ワームは、以下のファイルを作成します。

• %System%\V3Vate32.dll
• %Program Files%\Common Files\Plugins\index.txt
• %Program Files%\Common Files\Plugins\go.exe
• %Temp%\10.tmp\encrypt.bat
• %System%\drivers\etc\hosts.ics

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。. %Program Files%フォルダは、Windows 2000、Server 2003、XP (32ビット)、通常 Vista (32ビット) および 7 (32ビット) の場合、通常 "C:\Program Files"、Windows XP (64ビット)、Vista (64ビット) および 7 (64ビット) の場合、通常 "C:\Program Files (x86)" です。. %Temp%フォルダは、標準設定では "C:\Windows\Temp" です。)

その他

ワームは、以下の不正なWebサイトにアクセスします。

• http://tyhdd.{BLOCKED}s.com/index.txt
• http://tyhdd.{BLOCKED}s.com/go.exe
• {BLOCKED}.155.76
• {BLOCKED}.42.23

ワームは、実行後、自身を削除します。

このウイルス情報は、自動解析システムにより作成されました。