WORM_SOHANAD.ACD

ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、タスクマネージャやレジストリエディタ、フォルダオプションを無効にします。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ワームは、ユーザのInternet Explorer（IE）のスタートページを特定のWebサイトに変更します。これにより、特定のマルウェアを含むWebサイトが表示され、感染コンピュータは、さらなる脅威にさらされる恐れがあります。

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、ネットワーク共有フォルダを経由してコンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、以下の方法でコンピュータに侵入します。

• Google Talk (Spam Message)
• Yahoo Messenger (Spam Message)

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\system3_.exe
• %Windows%\system3_.exe
• %Desktop%\system3_.exe
• %User Temp%\system3_.exe

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。. %Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。. %Desktop%フォルダは、Windows 98 および MEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\デスクトップ" です。 Windows NTの場合、"C:\WINNT\Profiles\＜ユーザ名＞\デスクトップ"、Windows 2000、XP、Server 2003の場合は "C:\Documents and Settings\＜ユーザ名＞\デスクトップ" です。. %User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

ワームは、以下の無害なファイルを作成します。

• C:\install.txt - marker for dropping copies
• C:\disks.txt - marker for removable/network propagation
• %User Temp%\log_{timestamp}.txt - Malware Logs

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Yahoo Messengger = "%System%\system3_.exe"

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Shell = "Explorer.exe system3_.exe"

(註：変更前の上記レジストリ値は、「Explorer.exe」となります。)

他のシステム変更

ワームは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Schedule
AtTaskMaxHours = "0"

ワームは、以下のレジストリ値を追加し、タスクマネージャやレジストリエディタ、フォルダオプションを無効にします。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NofolderOptions = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableRegistryTools = "1"

ワームは、以下のレジストリキーを削除します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
BkavFw =

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
IEProtection =

感染活動

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• New Folder.exe

ワームは、以下のファイル名を用いて、ネットワーク共有フォルダ内に自身のコピーを作成します。

• New Folder.exe

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[Autorun]
Shellexecute = New Folder.exe
Shell\Open\command = New Folder.exe
Shell = Open

ワームは、以下のインスタントメッセンジャ（IM）を用いて標的とする受信者に自身のコピーを送信します。

• Yahoo Messenger
• Google Talk

ワームは、上記のインスタントメッセンジャ（IM）を用いて、以下のメッセージを送信します。

I LOVE YOUUUUUUUUUUUUU from screensaver http://{BLOCKED}gle.0catch.com/love.scr see more in URL
golden lovers rose screen saver from http://{BLOCKED}gle.0catch.com/love.scr and see more from URL
happy valentine day screen saver and beautiful screen saver from lovers http://{BLOCKED}gle.0catch.com/love.scr and URL
happy valentine day screen saver from http://{BLOCKED}gle.0catch.com/love.scr and get new tips and tricks for lovers URL
happy valentine day screen saver from http://{BLOCKED}gle.0catch.com/love.scr and get new tips and tricks from URL
happy valentine day screen saver from http://{BLOCKED}gle.0catch.com/love.scr and view secrets from private cam BIN
happy valentine day screen saver from http://{BLOCKED}gle.0catch.com/love.scr and view secrets from private cam BIN
rose is always red ,see in http://{BLOCKED}gle.0catch.com/love.scr screen saver from URL

Webブラウザのホームページおよび検索ページの変更

ワームは、ユーザのIEのスタートページを以下のWebサイトに変更します。

• http://www.{BLOCKED}gle.blogspot.com
• http://www.{BLOCKED}orld.50webs.com

ダウンロード活動

ワームは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://h1.{BLOCKED}y.com/{db00000 - db00050}

ワームは、以下のWebサイトにアクセスして自身の環境設定ファイルをダウンロードします。

• http://h1.{BLOCKED}y.com/{sdb0000 - sdb00050}/setting.ini