-- 2009年3月10日更新 --
・以下のWebサイトで注目されたため、危険度を[低（要注意）]に変更しました。
http://www.thetechherald.com/article.php/200911/3157/Conficker-Worm-fighting-back-a-new-variant-discovered-disables-security-measures
・W32/Conficker.wormの新しい亜種の拡散が確認されました。以下のフォルダに自身をコピーします。
- %Sysdir%\[ランダム].dll
- %Program Files%\Internet Explorer\[ランダム].dll
- %Program Files%\Movie Maker\[ランダム].dll
- %Program Files%\Windows Media Player\[ランダム].dll
- %Program Files%\Windows NT\[ランダム].dll
・以下のサービスを無効にします。
- WerSvc
- ERSvc
- BITS
- wuauserv
- WinDefend
- wscsvc
・dnsapi.dllの以下の関数にフックします。
- Query_Main
- DnsQuery_W
- DnsQuery_UTF8
- DnsQuery_A
・ws2_32.dllの以下の関数にフックします。
・セーフモードで再起動できないよう、以下のレジストリキーを削除します。
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot
・以下のレジストリキーを削除します。
- HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\explorer\ShellServiceObjects\{FD6905CE-952F-41F1-9A6F-135D9C6622CC}
- HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\Windows Defender
・名前に以下の文字列を含むプロセスを終了します。
- wireshark
- unlocker
- tcpview
- sysclean
- scct_
- regmon
- procmon
- procexp
- ms08-06
- mrtstub
- mrt.
- mbsa.
- klwk
- kido
- kb958
- kb890
- hotfix
- gmer
- filemon
- downad
- confick
- avenger
- autoruns
・ユーザがセキュリティ関連のドメインにアクセスできないようにするため、以下の文字列を含むドメインへのネットワークアクセスを行えないようにします。
- windowsupdate
- wilderssecurity
- virus
- virscan
- trojan
- trendmicro
- threatexpert
- threat
- technet
- symantec
- sunbelt
- spyware
- spamhaus
- sophos
- secureworks
- securecomputing
- safety.live
- rootkit
- rising
- removal
- quickheal
- ptsecurity
- prevx
- pctools
- panda
- onecare
- norton
- norman
- nod32
- networkassociates
- mtc.sri
- msmvps
- msftncsi
- mirage
- microsoft
- mcafee
- malware
- kaspersky
- k7computing
- jotti
- ikarus
- hauri
- hacksoft
- hackerwatch
- grisoft
- gdata
- freeav
- free-av
- fortinet
- f-secure
- f-prot
- ewido
- etrust
- eset
- esafe
- emsisoft
- dslreports
- drweb
- defender
- cyber-ta
- cpsecure
- conficker
- computerassociates
- comodo
- clamav
- centralcommand
- ccollomb
- castlecops
- bothunter
- avira
- avgate
- avast
- arcabit
- antivir
- anti-
- ahnlab
- agnitum
・Confickerの最新の亜種は自身のジェネレータアルゴリズムを使って50,000のドメイン名を生成することが確認されています。以下はW32/Conficker.wormの分解スナップショットです。
・以下の接尾辞が生成されたドメインに付加されます。たとえば、116の異なる接尾辞を使用します。
- com.ve
- com.uy
- com.ua
- com.tw
- com.tt
- com.tr
- com.sv
- com.py
- com.pt
- com.pr
- com.pe
- com.pa
- com.ni
- com.ng
- com.mx
- com.mt
- com.lc
- com.ki
- com.jm
- com.hn
- com.gt
- com.gl
- com.gh
- com.fj
- com.do
- com.co
- com.bs
- com.br
- com.bo
- com.ar
- com.ai
- com.ag
- co.za
- co.vi
- co.uk
- co.ug
- co.nz
- co.kr
- co.ke
- co.il
- co.id
- co.cr
-------------------------------------------------------------
・W32/Conficker.wormが実行されると、ランダムな名前を使って、%Sysdir%フォルダに自身をコピーします。
（%Sysdir%はWindowsのシステムフォルダ。例：C:\Windows\System32）
・以下のレジストリキーを改変し、感染したシステムにランダムな名前のサービスを作成します。
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\{ランダム}\Parameters\"ServiceDll" = "Path to worm"
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\{ランダム}\"ImagePath" = %SystemRoot%\system32\svchost.exe -k netsvcs
・以下のWebサイトに接続し、感染したコンピュータのパブリックIPアドレスを入手しようとします。
- hxxp://www.getmyip.org
- hxxp://getmyip.co.uk
- hxxp://checkip.dyndns.org
- hxxp://whatsmyipaddress.com
・リモートサイトからマルウェアファイルをダウンロードしようとします。（問題のロシア語のサイトは現在も公開されていますが、ファイルはなくなっています。）
- hxxp://trafficconverter.biz/[削除]antispyware/[削除].exe
・感染マシンのランダムなポートでHTTPサーバを開設し、W32/Conficker.wormのコピーをホストします。
・感染したホストのサブネットを絶えずスキャンして、脆弱なマシンを探し、エクスプロイトを実行します。成功すると、リモートコンピュータがHTTPサーバに接続し、W32/Conficker.wormをダウンロードします。
・W32/Conficker.wormの最近の亜種は、スケジュールされたタスクとAutorun.infファイルを使って脆弱でないシステムに自身を複製したり、駆除された後に感染していたシステムに再感染したりします。
