WORM_SOHAND.SM

ワームは、感染リムーバブルドライブを接続することにより、コンピュータに侵入します。 ワームは、感染ネットワーク共有フォルダを介して、コンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、Windowsのタスクスケジューラを用いて、「スケジュールされたタスク」を作成します。これにより、作成されたコピーが実行されます。 ワームは、既定のWindowsフォルダのアイコンを用いて、ユーザにファイルを開くよう促します。ユーザがファイルをダブルクリックすることで、このワームは実行されます。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

侵入方法

ワームは、感染リムーバブルドライブを接続することにより、コンピュータに侵入します。

ワームは、感染ネットワーク共有フォルダを介して、コンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• {install directory}\system3_.exe

ワームは、以下のコンポーネントファイルを作成します。

• {install directory}\autorun.ini - copy of autorun.inf

ワームは、Windowsのタスクスケジューラを用いて、「スケジュールされたタスク」を作成します。これにより、作成されたコピーが実行されます。

ワームは、既定のWindowsフォルダのアイコンを用いて、ユーザにファイルを開くよう促します。ユーザがファイルをダブルクリックすることで、このワームは実行されます。

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Yahoo Messengger = {install directory}\system3_.exe"

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Shell = "Explorer.exe system3_.exe"

(註：変更前の上記レジストリ値は、「Explorer.exe」となります。)

この「スケジュールされたタスク」により、以下の時間ごとにワームが実行されます。

• 9:00 AM

他のシステム変更

ワームは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
WorkgroupCrawler\Shares
shared = "\New Folder.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Schedule
AtTaskMaxHours = "0"

ワームは、インストールの過程で以下のレジストリキーまたはレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Start Page = "http://www.{BLOCKED}mworld.50webs.com "

(註：変更前の上記レジストリ値は、「{default}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Main
Default_Page_URL = "http://www.{BLOCKED}mworld.50webs.com "

(註：変更前の上記レジストリ値は、「{default}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Main
Default_Search_URL = "http://www.{BLOCKED}mworld.50webs.com "

(註：変更前の上記レジストリ値は、「{default search page}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Main
Search Page = "http://www.{BLOCKED}mworld.50webs.com "

(註：変更前の上記レジストリ値は、「{default}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Main
Start Page = "http://www.{BLOCKED}mworld.50webs.com "

(註：変更前の上記レジストリ値は、「{default}」となります。)

感染活動

ワームは、すべての物理ドライブおよびリムーバブルドライブ内でフォルダを検索し、検索したフォルダ内に "＜フォルダ名＞.EXE" として自身のコピーを作成します。

ワームは、すべての物理ドライブおよびリムーバブルドライブ内に以下として自身のコピーを作成します。

• New Folder.exe

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[Autorun]
Open=system3_.exe
Shellexecute=system3_.exe
Shell\Open\command=system3_.exe
Shell=Open

ワームは、以下のインスタントメッセンジャ（IM）を用いて、メッセージを送信します。このメッセージにはリンクが含まれており、リンク先のリモートサイトには、自身のコピーが組み込まれています。

• Yahoo Messenger
• Google Talk

プロセスの終了

ワームは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• game_y.exe
• cmd.exe

ダウンロード活動

ワームは、以下のWebサイトにアクセスして自身の環境設定ファイルをダウンロードします。

• http://{BLOCKED}ay.com/asdb{1-50}/setting.ini
• http://{BLOCKED}u{1-25}.0catch.com/set/setting.ini

ワームは、以下のファイル名でダウンロードしたファイルを保存します。

• {install directory}\setting.ini

その他

実行されると、ワームは、感染コンピュータのオペレーティングシステム（OS）の種類を確認します。OSの種類がWindows Vistaの場合、ワームは、上記の "{install directory}" を "C:\Desktop" または "%User Temp%" に設定します。

Windows Vista以外の場合、ワームは、上記の "{install directory}" を "%System%" または "%Windows%" に設定します。

ワームは、以下のレジストリからの値を確認することで共有ドライブを列挙します。

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\WorkgroupCrawler\Shares

ワームは、以下のように共有ドライブ内に自身のコピーを作成します。

• New Folder.exe

ワームは、上記のコピーに対応する "AUTORUN.INF" を作成し、自身のコピーを自動実行します。

ワームは、以下のウィンドウ名を持つアプリケーションのプロセスを終了します。

• [FireLion]
• Bkav2006
• Registry
• System Configuration
• Windows Task