WORM_VB.SMB

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
mdktaskpif = "%System%\mdktask.pif"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
mdktaskcom = "%System%\mdktask.com"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
mdktaskexe = "%System%\mdktask.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
mdktaskcmd = "%System%\mdktask.cmd"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
mdktaskscr = "%System%\mdktask.scr"

他のシステム変更

ワームは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Attachments

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Associations

ワームは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Download
CheckExeSignatures = "no"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Download
RunInvalidSignatures = "00000001"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Attachments
SaveZoneInformation = "00000001"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Associations
LowRiskFileTypes = {random characters}

作成活動

ワームは、以下のファイルを作成します。

• %System%\showbol2010.log
• %System%\atualizado.log

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

その他

ワームは、以下の不正なWebサイトにアクセスします。

• http://www.{BLOCKED}ho01.br.gp/borlndmm.dll
• http://www.{BLOCKED}er004.br.nf/borlndmm.dll
• http://www.{BLOCKED}ho01.br.gp/expressos.cfg
• http://www.{BLOCKED}ho01.br.gp/mdktask.exe
• http://www.{BLOCKED}ho02.br.gp/mdktask.exe
• http://www.{BLOCKED}er003.br.nf/mdktask.exe
• http://www.{BLOCKED}er004.br.nf/mdktask.exe
• http://www.{BLOCKED}ho01.br.gp/enviador.exe
• http://www.{BLOCKED}ho02.br.gp/enviador.exe
• http://www.{BLOCKED}er003.br.nf/enviador.exe
• http://www.{BLOCKED}er004.br.nf/enviador.exe
• http://www.{BLOCKED}ho01.br.gp/avthekiller.exe
• http://www.{BLOCKED}ho02.br.gp/avthekiller.exe
• http://www.{BLOCKED}er003.br.nf/avthekiller.exe
• http://www.{BLOCKED}er004.br.nf/avthekiller.exe
• http://www.{BLOCKED}ho01.br.gp/Beholder.exe
• http://www.{BLOCKED}ho02.br.gp/Beholder.exe
• http://www.{BLOCKED}er003.br.nf/Beholder.exe
• http://www.{BLOCKED}er004.br.nf/Beholder.exe

このウイルス情報は、自動解析システムにより作成されました。