WORM_STRAT.MJ

ワームは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

ワームは、また、スパム活動の過程で、メッセージを作成します。

ワームは、ダウンロードしたファイルを実行します。この結果、ワームの不正活動が感染コンピュータ上で展開されることとなります。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

ワームは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

インストール

ワームは、以下のファイルを作成します。

• %Windows%\tserv.exe - also detected as WORM_STRAT.MJ
• %System%\MSJI449C14B7.DLL - also detected as WORM_STRAT.MJ
• %System%\CMUT449C14B7.DLL - also detected as WORM_STRAT.MJ
• %System%\HPZL449C14B7.EXE - also detected as WORM_STRAT.MJ
• %Windows%\tserv.dll - also detected as WORM_STRAT.MJ
• %System%\e1.dll - also detected as WORM_STRAT.MJ
• %Windows%\tserv.wax - contains e-mail addresses obtained from infected machine
• %Windows%\tserv.dat - non-malicious
• %Windows%\tserv.z - non-malicious
• {Malware Path}\{random number}.tmp - Garbage text opened by notepad to deceive the victim.

(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。. %System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

ワームは、以下のプロセスにコードを組み込みます。

• nod32krn
• avginet
• avgupsvc
• kavsvc
• upgrader
• drwebupw
• spiderml
• autodown
• kav
• mcupdate
• tbmon
• wuauclt
• wuauclt1
• wupdmgr

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
tserv = "%Windows%\tserv.exe s"

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Windows
AppInit_DLLs = "msji449c14b7.dll e1.dll"

(註：変更前の上記レジストリ値は、「{blank}」となります。)

感染活動

ワームは、以下の拡張子を持つファイルからＥメールアドレスを収集します。

• adb
• asp
• cfg
• cgi
• dbx
• eml
• htm
• jsp
• mbx
• mdx
• mht
• mmf
• msg
• nch
• ods
• php
• sht
• stm
• tbb
• txt
• uin
• wab
• wsh
• xml

ワームは、メールを作成し、自身のスパム活動に利用します。

ダウンロード活動

ワームは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://www4.{BLOCKED}njerinkas.com/chr/wtb/lt.exe

ワームは、以下のファイル名でダウンロードしたファイルを保存します。

• %Temp%\~{random number}.tmp

(註：%Temp%は、＜Windows Temporary フォルダ＞のことで、標準設定では "C:\WINNT\Temp" または "C:\Windows\Temp" です。)

ワームは、ダウンロードしたファイルを実行します。この結果、ワームの不正活動が感染コンピュータ上で展開されることとなります。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

ワームは、以下の情報を収集します。

• Operating System Type
• Operating System Version

情報収集

ワームは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• www3.{BLOCKED}njerinkas.com/cgi-bin/pr.cgi