WORM_SDBOT.JAB

ワームは、感染リムーバブルドライブを接続することにより、コンピュータに侵入します。 ワームは、ピアツーピア（P2P）の共有フォルダを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。 ワームは、パスワードのリストを利用し、パスワード保護された共有フォルダにアクセスします。

ワームは、IRCチャンネルに参加します。

侵入方法

ワームは、感染リムーバブルドライブを接続することにより、コンピュータに侵入します。

ワームは、P2Pの共有フォルダを介してコンピュータに侵入します。

ワームは、ネットワーク共有フォルダを経由してコンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\dnsupdater.exe
• %User Temp%\windump.exe

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。. %User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

ワームは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• anotherblackwidow

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
SunJavaUpdateSched = "%Application Data%\dnsupdater.exe"

感染活動

ワームは、以下の共有フォルダ内に自身のコピーを作成します。

• SharedDocs\porno_movie.mpeg.exe
• ADMIN$\porno_movie.mpeg.exe
• C$\porno_movie.mpeg.exe
• D$\porno_movie.mpeg.exe
• E$\porno_movie.mpeg.exe

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• autorunme.exe

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[autorun]
open=autorunme.exe
icon=%SystemRoot%\system32\SHELL32.dll,8
label=USB Drive
action=USB Drive explorer
shellexecute=autorunme.exe

ワームは、以下のパスワードのリストを利用し、パスワード保護された共有フォルダにアクセスします。

• 12345
• 123456
• 1234567
• 12345678
• 123456789
• 1234567890
• 123abc
• abcde
• access
• admin
• administrator
• admins
• amministratore
• apollo13
• apple
• awerty
• billy
• bitch
• command
• computer
• database
• default
• guest
• hacker
• internet
• intranet
• linux
• login
• loginpass
• mysql
• nokia
• oracle
• owner
• pass1234
• qwerty
• server
• siemens
• system
• win2000
• win2k
• win95
• win98
• winnt
• winpass
• winxp
• wwwadmin

バックドア活動

ワームは、以下のいずれかのIRCサーバに接続します。

• Irc.{BLOCKED}z.com

ワームは、以下のいずれかのIRCチャンネルに参加します。

• ##synfu##
• ##flash##
• #~priv~#
• #~cevi~#

プロセスの終了

ワームは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• Wireshark
• tcpview
• MSASCui
• msmpeng