・W32/Maslan.c@MMは、ターゲットに自身を大量送信し、セキュリティが不十分な共有や修正プログラムが適用されていないシステムを利用してマシンに拡散して、繁殖します。特徴は以下のとおりです。
- 自身のSMTPエンジンを使用してメッセージを作成します。
- ターゲットマシンから電子メールアドレスを収集します。
- 送信メッセージの差出人のアドレスを偽装します。
- セキュリティが不十分な共有が存在するマシンに自身をコピーできます。
- LsassまたはDcomRPCの脆弱性を利用して、修正プログラムが適用されていないマシンに繁殖できます。
- ターゲットマシンにIRC botをドロップ（作成）します（このIRC botは、ターゲットマシン上で、さまざまなウイルス対策/セキュリティアプリケーションのプロセスの終了を含む重大な機能を持つバックドアとして機能します）。
- 金融機関のサイトに関連するデータを収集するため、Internet Explorerのセッションを監視します。
- ターゲットマシンでの自身の存在を隠します。
- コンパニオンウイルス型の感染ルーチンを真似ています（テストでは確認されませんでした）。
電子メールを介した繁殖
・W32/Maslan.c@MMはターゲットマシンのファイルから電子メールアドレスを収集します。具体的には、以下の拡張子を持つファイルを検索します。
- xml
- xls
- wsh
- mmf
- mht
- mdx
- mbx
- jsp
- htm
- eml
- dhtm
- dbx
- cgi
- cfg
- asp
- adb
- wab
- uin
- txt
- tbb
- stm
- shtm
- sht
- pl
- php
- oft
- ods
- nch
- msg
・送信メッセージのフォーマットは以下のとおりです。
差出人：差出人のアドレスを偽装します。
件名： 12345
本文：本文は、テンプレートにウイルス本体に格納されているさまざまな名前を挿入して、作成されます。
Hello (名前1),
--
Best regards,
(%name%) mailto:(%email%)
ただし、
%name% = 擬装した差出人のアドレスの名前
%email% = 擬装した差出人の電子メールアドレス
添付ファイル：以下のファイル名を持つW32/Maslan.c@MMのコピー
・ただし、以下の文字列を含む電子メールアドレスには自身を送信しません。
- mozilla
- utgers.ed
- tanford.e
- pgp
- acketst
- secur
- isc.o
- isi.e
- ripe.
- arin.
- sendmail
- rfc-ed
- ietf
- iana
- usenet
- fido
- linux
- kernel
- google
- ibm.com
- fsf.
- gnu
- mit.e
- bsd
- math
- unix
- berkeley
- foo.
- mysqlruslis
- nodomai
- mydomai
- example
- inpris
- borlan
- sopho
- panda
- syma
- avp
- abuse
- www
- spam
- spm
- test
- page
- the.bat
- gold-certs
- ca
- feste
- submit
- not
- help
- service
- privacy
- somebody
- no
- soft
- contact
- site
- rating
- bugs
- me
- you
- your
- someone
- anyone
- nothing
- nobody
- noone
- webmaster
- postmaster
- samples
- info
- root
- mail.com
- freemail.com
- hotmail.com
- yahoo.com
- msn.com
- aol.com
- subscribe
- accoun
- certific
- listserv
- ntivi
- admin
ネットワークを介した繁殖
・W32/Maslan.c@MMは、LsassおよびDcomRPCの脆弱性を持つマシンを利用して、繁殖します。また、セキュリティが不十分な（パスワードが脆弱な）共有が存在するマシンにも繁殖します。
自身の存在の隠蔽
・W32/Maslan.c@MMは、ターゲットマシンでの自身の存在を隠すため、ルートキットという方法を使用します。「___」で始まるファイルやプロセスはユーザには表示されません。
ブラウザの監視
・W32/Maslan.c@MMはウィンドウのタイトルが以下の文字列を含むブラウザのセッションを監視します。
- paypal
- trade
- bank
- mail
- e-gold
- e-bullion
- evocash
・このとき、そのウィンドウへのキー入力が記録されます。記録されたデータは（HTTPを介して）ハッカーに返送されます。
コンパニオンウイルス型の感染
・W32/Maslan.c@MMを分析したところ、ターゲットマシン上の一部のファイル、特にファイル名に以下の文字列を含むファイルでコンパニオンウイルス型の感染を行おうとしていると思われます。
- download
- distr
- setup
- share
・感染すると、元のファイルのコピーがサブディレクトリ（「___b」）に作成され、元のファイルがW32/Maslan.c@MMのコピー（元のファイルのファイルサイズを維持するため、00を付加）に置き換えられます。なお、このウイルス情報の作成時のテストでは、このような感染は確認されませんでした。
