WORM_PHORPIEX.JZ

トレンドマイクロは、このワームをNoteworthy（要注意）に分類しました。

ワームは、感染活動を行うために、Skypeを利用しスパムメッセージを送信します。送信されるスパムメッセージは、リンクを含んでおり、このワームが自動的にダウンロードされることとなります。またワームは、感染コンピュータのセキュリティを侵害するバックドア機能も備えています。

この事例に関する情報は、セキュリティブログ「ハリケーン「『Shylock』だけが Skype を狙う唯一の脅威ではない」をご参照ください。

ワームは、大量送信されたスパムメールに添付されて、コンピュータに侵入します。 ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、IRCサーバに接続します。 ワームは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

ワームは、実行後、自身を削除します。

侵入方法

ワームは、大量送信されたスパムメールに添付されて、コンピュータに侵入します。

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %User Profile%\6489672321067478425\winsvc.exe

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

ワームは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• g4u5f3dg4f

ワームは、自身（コンピュータに侵入して最初に自身のコピーを作成したワーム）を終了し、侵入したコンピュータ内で作成した自身のコピーの方を実行します。

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Microsoft Windows Update = "%User Profile%\6489672321067478425\winsvc.exe"

他のシステム変更

ワームは、以下のレジストリ値を作成し、Windowsのファイアウォールを回避します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%User Profile%\6489672321067478425\winsvc.exe = "%User Profile%\6489672321067478425\winsvc.exe*:Enabled:Microsoft Windows Update"

感染活動

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {drive letter}:\843921.exe

バックドア活動

ワームは、以下のいずれかのIRCサーバに接続します。

• {BLOCKED}50.asia
• {BLOCKED}50.in
• {BLOCKED}50.pro

ワームは、以下のいずれかのIRCチャンネルに接続します。

• #go

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• Download and execute arbitrary files

ただし、情報公開日現在、このサーバには接続できません。

ダウンロード活動

ワームは、以下のファイル名でダウンロードしたファイルを保存します。

• %Application Data%\winsvcns.sys

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

その他

ワームは、実行後、自身を削除します。

ワームは、リムーバブルドライブ内で確認されたフォルダ名を用いて、すべてのリムーバブルドライブ内に、以下に誘導するショートカットファイル（拡張子LNK）を作成します。

• ＜ドライブレター＞:\843921.exe

ワームは、このフォルダを非表示にします。

ワームは、添付ファイルとして自身のコピーを含むEメールのメッセージを送信します。

ワームは、以下のメールサーバに問い合わせ、Eメールアドレスを検索します。

• gmx.com

ワームが送信するEメールは、以下の特徴を備えています。

• ワームは、以下の表示名を利用します。
  
  Anthony
  Barbara
  Betty
  Brian
  Carol
  Charles
  Christopher
  Daniel
  David
  Deborah
  Donald
  Donna
  Dorothy
  Edward
  Elizabeth
  George
  Helen
  James
  Jason
  Jennifer
  Joseph
  Karen
  Kenneth
  Kevin
  Kimberly
  Laura
  Linda
  Margaret
  Maria
  Michael
  Michelle
  Nancy
  Patricia
  Richard
  Robert
  Ronald
  Sandra
  Sarah
  Sharon
  Steven
  Susan
  Thomas
  William
  
  
• ワームは、以下の件名を利用します。
  
  Is this you??
  Picture of you???
  Tell me what you think of this picture
  This is the funniest picture ever!
  I cant believe I still have this picture
  Someone showed me your picture
  Your photo isn't really that great
  I love your picture!
  What you think of my new hair color?
  What do you think of my new hair?
  You look so beautiful on this picture
  You should take a look at this picture
  Take a look at my new picture please
  What you think of this picture?
  Should I upload this picture on facebook?
  Someone told me it's your picture
  
  
• ワームは、以下の本文を利用します。
  
  hahaha
  ;)
  :D
  :P
  :)
  LOL
  ;D

ワームは、添付ファイルとして以下のファイル名を用います。

• IMG{random number}-JPG.zip

ワームは、ルートキット機能を備えていません。

ワームは、脆弱性を利用した感染活動を行いません。

ワームが実行するコマンドは、以下のとおりです。

• 任意のファイルのダウンロードおよび実行