・W32/Lovgate.a@M（SMTPエンジンを内蔵）は電子メールを介して繁殖し、ネットワーク共有内に自身をコピーします。さらにバックドアコンポーネントをドロップ（作成）することがあります（感染マシンのポート10168が開かれます）。
・実行すると、自身を以下のようなファイル名で%System%フォルダにコピーします。
WinGate.exe
rpcsrv.exe
syshelp.exe
winrpc.exe
WinRpcsrv.exe
・バックドアコンポーネントは、以下のような様々なファイル名で何度も%System%ディレクトリに落とし込まれることがあります。
1.dll
reg.dll
ily.dll
task.dll
・この動作は、テスト時にはWindows NT/2000システムにだけ見られました。ファイルの大きさは77,824バイトでした。
（注意：%System% はウィンドウズシステムフォルダです。Windows 9x/MEではC:\Windows\System、Windows NT/2000ではC:\WINNT\System32、Windows XPではC:\Windows\System32）
・以下のレジストリキーが追加されシステムの起動をフックします。
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
"syshelp" = C:\WINDOWS\SYSTEM\syshelp.exe
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run"WinGate initialize" = C:\WINDOWS\SYSTEM\WinGate.exe -remoteshell
・同様にバックドアコンポーネント用にもレジストリキーが追加され、システムの起動がフックされます。
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
"Module Call initialize" = RUNDLL32.EXE reg.dll ondll_reg
・以下のレジストリキーがテキストファイルの実行をフックするために改変されます。
HKEY_CLASSES_ROOT\txtfile\shell\open\command(Default) = "winrpc.exe %1"
・Windows NT/2000で実行された場合、ワームは'Window Remote Service'（WINRPCSRV.EXEというファイル名のワームのコピーを起動するように設定する）という表示名でサービスとして自身をインストールします。落とし込まれたバックドアコンポーネント（TASK.DLL）は2つのサービスとして、以下の表示名でインストールされます。
1. dll_reg
2. Windows Management Extension
・また、ワームは以下のように’Run’コマンドを追加してWIN.INIファイルを改変します。
[windows]
run=rpcsrv.exe
メーリングコンポーネント
・このワームは自身のSMTPエンジンを利用して、ユーザの受信トレイ内のすべての新着メールに対して返信することが可能です。また、自身を以下に記載するようなファイルとしてメールに添付します。このような繁殖方法は'@M' サフィックスを反映しており、一般的な大量メール送信ウイルスよりも繁殖のスピードは遅いです。
・受信トレイに差出人が'???@wherever.com' からのメッセージがある場合、ワームは以下のように返信します。
Wherever.com account auto-reply:
' I'll try to reply as soon as possible.
Take a look at the attachment and send me your opinion!'
>Get your Free wherever.com account now! <
ワームコンポーネント
・W32/Lovgate.a@Mは、共有ネットワークを介しても繁殖します。共有フォルダ（サブフォルダも含む）を検索して、以下のファイル名で自身をコピーします。
fun.exe
humor.exe
docs.exe
s3msong.exe
midsong.exe
billgt.exe
Card.EXE
SETUP.EXE
searchURL.exe
tamagotxi.exe
hamster.exe
news_doc.exe
PsPGame.exe
joke.exe
images.exe
pics.exe
バックドアコンポーネント
・ワームはトロイの木馬コンポーネントをドロップ（作成）することがあります。このトロイの木馬コンポーネントは、4249DATファイル以降でBackdoor-AQJとして検出されます。
・ターゲットマシンのポート10168を開いて、電子メールでターゲットマシンの感染をハッカーに通知します。以下のアドレスは受信者情報です。
hacker117@163.com
・感染マシンに関する情報も同様にハッカーに送信されます。この情報はシステム情報を含む場合もあります。
