・W32/Israz.wormは電子メールおよびKaZaaを介して繁殖します。以下のような電子メールで届きます。
送信者：update@microsoft.com
件名：PS1
本文：Your file is attached to message.
For more information go to WindowsUpdate http://windowsupdate.microsoft.com
添付ファイル：Update.exe
送信者：update@microsoft.com
件名：PS1
本文：Your file is attached to message.
For more information go to WindowsUpdate http://windowsupdate.microsoft.com
添付ファイル：Q322593.exe
送信者：help@google.com
件名：Update Your ToolBar
本文：Your file is attached to message.
For more information go to Google home page http://www.google.com
添付ファイル：ToolBar.exe
送信者：help@google.com
件名：Auto Search Wizard
本文：Your file is attached to message.
For more information go to Google home page http://www.google.com
添付ファイル： Wizard.exe
送信者：copyright@yahoo-inc.com
件名：Yahoo FAQ
本文：Your file is attached to message.
For more information go to Yahoo home page http://www.yahoo.com
添付ファイル： FAQ.exe
送信者：copyright@yahoo-inc.com
件名：Support For Search
本文：Your file is attached to message.
For more information go to Yahoo home page http://www.yahoo.com
添付ファイル： Support.exe
システムの改変
・添付ファイルが実行されると、W32/Israz.wormはWINDOWS SYSTEM (%SysDir%) ディレクトリに以下のファイルを作成します。
- OSSMTP.dll (86,016バイト) ウイルスでないメールライブラリ
- vShell.exe (147,456バイト) ワームのコピー
- vUser.exe (16,384バイト) ワームのコンポーネント
- Win32.exe (147,456バイト) ワームのコピー
・W32/Israz.wormは以下のレジストリ実行キーを作成し、起動時に自身を読み込むようにします。TXTファイルの処理を改変し、ワームを実行します。
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\
Run "Win32" = C:\WINNT\System32\Win32.exe
- HKEY_CLASSES_ROOT\txtfile\shell\open\
command "(Default)" = C:\WINNT\System32\vShell.exe %1
・以下のファイル名のワームのコピーが%TEMP%フォルダに保存されます。
- FAQ.exe
- Fun.exe
- Q322593.exe
- Support.exe
- ToolBar.exe
- Update.exe
- Wizard.exe
電子メールを介した繁殖
・W32/Israz.wormは落とし込まれたOSSMTP.dllライブラリを使用して、Windowsのアドレス帳 (WAB) から入手したアドレスに自身を送信します。メッセージはInternet Account Managerで指定されているデフォルトのSMTPサーバーを介して送信されます。
KaZaaを介した繁殖
・W32/Israz.wormはKaZaaダウンロードディレクトリに以下のファイル名で自身をコピーします。
- Doom_3 Crack.exe
- GTA Vice City Crack.exe
- NAV_2003 Crack.exe
- OfficeXP Keys.exe
- XP Keys.exe
発病ルーチン
・W32/Israz.wormは以下のURLを指示するように、既存のInternetのショートカットすべてを改変する発病ルーチンを含みます。
- http://www.ynet.co.il
- http://www.tapuz.co.il
- http://www.nana.co.il
- http://www.msn.co.il
- http://www.walla.co.il
・また、SymantecのNortonウイルス対策製品の特定のコンポーネントを無効化します。
