WORM_STTKR.B

ワームは、他のマルウェアに作成され、コンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

ワームは、以下のマルウェアに作成され、コンピュータに侵入します。

• TROJ_DLDR.HB

インストール

ワームは、以下のファイルを作成します。

• %Windows%\inf\maincom.inf
• %System%\ntdos.inf
• %System%\promaprt.dep

(註：%Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。. %System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

ワームは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• AMrypBloodXYZFlowUSA

ワームは、以下のプロセスにコードを組み込みます。

• explorer.exe

自動実行方法

ワームは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\VmSecurity
Description = "Security Component"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\VmSecurity
DisplayName = "Security"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\VmSecurity
ErrorControl = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\VmSecurity
ImagePath = "%SystemRoot%\System32\svchost.exe -k netsvcs"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\VmSecurity
ObjectName = "LocalSystem"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\VmSecurity
Start = "2"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\VmSecurity
Type = "32"

ワームは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\VmSecurity

他のシステム変更

ワームは、以下のファイルを改変します。

• %System%\rundll32.exe

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

ワームは、以下のレジストリ値を作成し、Windowsのファイアウォールを回避します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
EnableFirewall = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
DoNotAllowExceptions = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%Windows%\explorer.exe = "%Windows%\explorer.exe:*:Enabled:Microsoft Explorer"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%System%\svchost.exe = "%System%\svchost.exe:*:Enabled:Windows HandBook"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
{port number 1}:TCP = "{port number 1}:TCP:*:Enabled:@xpsp2res.dll,-2002"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
{port number 2}:UDP = "{port number 2}:UDP:*:Enabled:@xpsp2res.dll,-22002"

ダウンロード活動

ワームは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• http://www.{BLOCKED}lower.net/document/large/msqlmem.txt
• http://www.{BLOCKED}tcc.co.kr/bbs/images/titlebar.gif (saved as %System%\msctrll.dll)

ワームは、以下のファイル名でダウンロードしたファイルを保存します。

• %System%\maincom.dll
• %System%\maincom.inf
• %System%\prodownq.org
• %System%\dieharw.srgg
• %System%\msryswt.hlp
• %System%\sqlsrveng.dll
• %System%\lansetting.log
• %System%\urlsetting.log
• %System%\msconfm.log

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

ただし、情報公開日現在、このWebサイトにはアクセスできません。