WORM_PROLACO.EK

マルウェアは、大量送信されたスパムメールに添付されて、コンピュータに侵入します。 マルウェアは、リムーバブルドライブを介してコンピュータに侵入します。

マルウェアは、自身のコピーがWindows起動時に自動実行されるようレジストリ値を追加します。

マルウェアは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

マルウェアは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

マルウェアは、ユーザが特定のWebサイトにアクセスできないように、感染コンピュータのHOSTSファイルを改変します。

侵入方法

マルウェアは、大量送信されたスパムメールに添付されて、コンピュータに侵入します。

マルウェアは、リムーバブルドライブを介してコンピュータに侵入します。

マルウェアは、ネットワーク共有フォルダを経由してコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成し実行します。

• %System%\sta-css.exe - TROJ_HILOTI.SMEO
• %System%\sta-cpe.exe - TROJ_FAKEAV.EKA

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、""C:\Windows\System""、Windows NT および 2000 の場合、""C:\WinNT\System32""、Windows XP および Server 2003 の場合、""C:\Windows\System32"" です。)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\PCSuite.exe

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、""C:\Windows\System""、Windows NT および 2000 の場合、""C:\WinNT\System32""、Windows XP および Server 2003 の場合、""C:\Windows\System32"" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• PCSuite.exe{random characters}

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Nokia Launch Application = %System%\PCSuite.exe

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Nokia4

HKEY_LOCAL_MACHINE\Software\Nokia4

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer
nok01 = {month of execution}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer
nok02 = {day of execution}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
UACDisableNotify = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
system
EnableLUA = 0

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%System%\PCSuite.exe = %System%\PCSuite.exe:*:Enabled:Explorer

感染活動

マルウェアは、すべてのリムーバブルドライブ内に以下のフォルダを作成します。

• [dirve letter]:\RECYCLER
• [dirve letter]:\RECYCLER\S-1-6-21-2434476521-1645641927-702000330-1542

マルウェアは、ピアツーピア（P2P）・ネットワーク上で使用される以下のフォルダ内に自身のコピーを作成します。

• %User Profile%My Documents\Frostwire\shared
• %Program Files%\icq\shared folder\
• %Program Files%\grokster\my grokster\
• %Program Files%\emule\incoming\
• %Program Files%\morpheus\my shared folder\
• %Program Files%\limewire\shared\
• %Program Files%\tesla\files\
• %Program Files%\winmx\shared\
• %System Root%\Downloads\
• Kazaa Download Directory
• DC++ Download Directory

(註：%User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。. %Program Files%は、標準設定では "C:\Program Files" です。. %System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

マルウェアは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• [dirve letter]:\RECYCLER\S-1-6-21-2434476521-1645641927-702000330-1542\redmond.exe

マルウェアは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[autorun]
open=RECYCLER\S-1-6-21-2434476521-1645641927-702000330-1542\redmond.exe
icon=%SystemRoot%\system32\SHELL32.dll,4
action=Open folder to view files
shell\open=Open
shell\open\command=RECYCLER\S-1-6-21-2434476521-1645641927-702000330-1542\redmond.exe
shell\open\default=1

マルウェアは、以下の拡張子を持つファイルからＥメールアドレスを収集します。

• ·txt
• ·htm
• ·xml
• ·php
• ·asp
• ·dbx
• ·log
• ·nfo
• ·lst
• ·wpd
• ·wps
• ·xls
• ·doc
• ·wab
• ·rtf

マルウェアは、以下の文字列を含むＥメールアドレスにはメッセージを送信しません。$$DATA$

• berkeley
• unix
• bsd
• mit.e
• gnu
• fsf.
• ibm.com
• debian
• kernel
• linux
• fido
• usenet
• iana
• ietf
• rfc-ed
• sendmail
• arin.
• sun.com
• isc.o
• secur
• acketst
• pgp
• apache
• gimp
• tanford.e
• utgers.ed
• mozilla
• firefox
• suse
• redhat
• sourceforge
• slashdot
• samba
• cisco
• syman
• panda
• avira
• f-secure
• sopho
• www.ca.com
• ahnlab
• novirusthanks
• prevx
• drweb
• bitdefender
• clamav
• eset.com
• ikarus
• mcafee
• kaspersky
• virusbuster
• badware
• immunityinc.com
• avg.comsysinternals
• borlan
• inpris
• lavasoft
• jgsoft
• ghisler.com
• wireshark
• winpcap
• acdnet.com
• acdsystems.com
• acd-group
• bpsoft.com
• buyrar.com
• bluewin.ch
• quebecor.com
• alcatel-lucent.com
• ssh.com
• winamp
• nullsoft.org
• example
• mydomai
• nodomai
• ruslis
• virus
• .gov
• gov.
• .mil
• messagelabs
• honeynet
• honeypot
• security
• idefense
• qualys
• root
• info
• samples
• postmaster
• webmaster
• noone
• nobody
• nothing
• anyone
• someone
• your
• you
• me
• bugs
• rating
• site
• contact
• soft
• no
• somebody
• privacy
• service
• help
• not
• submit
• sales
• ca
• gold-certs
• the.bat
• page
• admin
• icrosoft
• support
• ntivi
• unix
• bsd
• linux
• listserv
• websense
• certific
• security
• spam
• sp
• spam
• www
• secur
• abuse

ルートキット機能

マルウェアは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• mcvsshld.exe
• McProxy.exe
• mps.exe
• mcmscsvc.exe
• mcpromgr.exe
• McNASvc.exe
• mcagent.exe
• Mcshield.exe
• HWAPI.exe
• RedirSvc.exe
• emproxy.exe
• mcsysmon.exe
• mcods.exe
• MpfSrv.exe
• msksrver.exe
• mskagent.exe
• ccsvchst.exe
• PShost.exe
• TPSRV.exe
• avciman.exe
• APvxdwin.exe
• Pavbckpt.exe
• iface.exe
• PSCtrlS.exe
• PavFnSvr.exe
• prevx.exe
• PavPrSrv.exe
• PsIMSVC.exe
• psksvc.exe
• PAVSRV51.exe
• AVENGINE.exe
• Webproxy.exe
• SrvLoad.exe
• avgnt.exe
• guardgui.exe
• avcenter.exe
• avguard.exe
• avgwdsvc.exe
• avgrsx.exe
• avgtray.exe
• avgemc.exe
• avgcsrvx.exe
• avgui.exe
• xcommsvr.exe
• seccenter.exe
• bdss.exe
• bdagent.exe
• livesrv.exe
• ekrn.exe
• egui.exe
• sbamtray.exe
• sbamui.exe
• K7TSMngr.exe
• K7RTScan.exe
• K7EmlPxy.exe
• K7SysTry.exe
• K7TSecurity.exe
• drweb32w.exe
• drwebupw.exe
• spidergui.exe
• avp.exe
• avp.exe
• mbam.exe
• pccnt.exe
• NTRtScan.exe
• TmListen.exe
• FPWin.exe
• FprotTray.exe
• FPAVServer.exe
• SavService.exe
• SavMain.exe
• AlMon.exe
• SavAdminService.exe
• ALSvc.exe
• SbeConsole.exe
• Rav.exe
• RavTask.exe
• RavMon.exe
• RavmonD.exe
• RavStub.exe
• CCenter.exe
• isafe.exe
• vsserv.exe
• vetmsg.exe
• ashdisp.exe
• ashserv.exe

作成活動

マルウェアは、作成したファイルの属性を以下に設定します。

• Hidden
• Read-Only
• System

HOSTSファイルの改変

マルウェアは、WindowsのHOSTSファイルに以下の文字列を追加します。

• eset.com
• f-secure.com
• sophos.com
• virustotal.com
• hispasec.com
• mcafee.com
• mast.mcafee.com
• networkassociates.com
• download.mcafee.com
• dispatch.mcafee.com
• nai.com
• us.mcafee.com
• symantec.com
• securityresponse.symantec.com
• liveupdate.symantecliveupdate.com
• symantec.com
• liveupdate.symantec.com
• customer.symantec.com
• sophos.com
• viruslist.com
• avp.com
• kaspersky.com
• kaspersky-labs.com
• ca.com
• my-etrust.com
• trendmicro.com
• free-av.com
• authentium.com
• avg.com
• ewido.com
• grisoft.com
• global.ahnlab.com
• avast.com
• bitdefender.com
• quickheal.com
• aladdin.com
• ikarus-software.at
• pandasecurity.com
• virus-buster.com

その他

マルウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://{BLOCKED}myip.com/automation/n09230945.asp

解析の結果、マルウェアによるバックドア活動は確認されませんでした。