WORM_PALEVO.SMEJ

感染経路：リムーバブルドライブを介した感染活動

ワームは、ピアツーピア（P2P）の共有フォルダを介してコンピュータに侵入します。 ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、すべてのリムーバブルドライブ内に自身のコピーを作成します。 ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ワームは、ランダムにポートを開き、不正リモートユーザが感染コンピュータに接続できるようにします。接続されると、不正リモートユーザは、感染コンピュータ上でのコマンド実行が可能となります。 ワームは、不正リモートユーザからリモートで受信する特定のコマンドを実行します。これにより、感染コンピュータおよび同コンピュータ上の情報は危険にさらされることとなります。 ワームは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

ワームは、P2Pの共有フォルダを介してコンピュータに侵入します。

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、以下のフォルダを追加します。

• %System Root%\RECYCLER\{SID}

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System Root%\RECYCLER\{SID}\hod.exe

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

ワームは、以下の無害なファイルを作成します。

• %System Root%\RECYCLER\{SID}\Desktop.ini

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

ワームは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• explorer.exe

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Taskman = "%System Root%\RECYCLER\{SID}\hod.exe"

感染活動

ワームは、すべてのリムーバブルドライブ内に自身のコピーを作成します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

{AutoRun}
;{garbage characters}
[autORUN]
;open=setup.exe
;icon=setup.exe,0
shelLexEcute=.\RECYCLER\SEtUp.exe
icon=%wIndIr%\sYstEm32\ShElL32.DlL,4
action=Open folder to view files
;shell\op en ;shell\opeN ;shell\openn
Shell\Open\Command=REcYCLER\\\\\\SEtUp.exe
;shell\ex p lor ;\sshell\ploreX
Shell\eXpLorE\Command=RECyCLER\\\SEtUp.exe
useautoplay=1
[Comment]
brand=suck

バックドア活動

ワームは、ランダムにポートを開き、不正リモートユーザが感染コンピュータ上にアクセスするのを可能にします。接続されると、不正リモートユーザは、感染コンピュータ上でコマンドを実行します。

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• launch TCP and UDP flood
• propagate itself via peer-to-peer networks
• propagate itself via removable drives
• propagate via MSN messenger by sending messages containing a link where a copy of itself may be downloaded
• retrieve Firefox and Internet Explorer passwords

ワームは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}h1Z.slindrio.com
• {BLOCKED}0per.nertina.com
• {BLOCKED}37.anjlia.com

ワームは、特定のリンクからダウンロードされたファイルとしてコンピュータに侵入します。このリンクは、インスタントメッセンジャ「MSNメッセンジャー」を介して送信されたメッセージに含まれているものです。

ワームは、以下のピアツーピア（P2P）ネットワークを介してコンピュータに侵入します。

• Ares
• BearShare
• DC++
• eMule
• iMesh
• Kazaa
• Limewire
• Shareaza