・W32/Mydoom.ae@MMは大量メール送信型ワームです。特徴は以下のとおりです。
- 自身のSMTPエンジンを使用して電子メールメッセージを作成します。
- バックドアコンポーネントが組み込まれています（下記参照）。
- HOSTSファイルを改変します。
- W32/Scran.worm（P2Pワーム）をダウンロードします。
・W32/Mydoom.ae@MMは、以下のような電子メールメッセージで届きます。
差出人：（擬装）
・差出人のアドレスは、その差出人が感染していることを示しているわけではありません。さらに、実際には感染していないのに、自身が感染していることを警告するメッセージがメールサーバから届く場合もあります。
件名：（一例は以下のとおり）
- Fw:Information
- read now!
- Fw:Warning
- Re:Warning
- Warning
- Fw:Notification
- Re:Notification
- Notification
- Fw:Document
- Re:Document
- Document
- Fw:Important
- Re:Important
- Important
- Re:Information
- Information
- Re:Details
- Details
- Announcement
本文：（一例は以下のとおり）
- Daily Report.
- your document.
- here is the document.
- Reply
- Important Information.
- Kill the writer of this document!
- Details are in the attached document.
- See the attached file for details
- Please see the attached file for details
- Check the attached document.
- Monthly news report.
- Please confirm!.
- Please read the attached file!.
- Please see the attached file for details.
- Waiting for a Response. Please read the attachment.
- Please answer quickly!.
添付ファイル：（多くの場合、ZIP圧縮ファイルに格納された状態で到着）
- attachment.doc
- notes.doc
- notedoc
- text.doc
- data.doc
- list.doc
- archive.doc
- error.doc
- check.doc
- file.doc
- message.doc
- letter.doc
- information.doc
- msg.doc
- news.doc
- report.doc
- document.doc
・ファイル拡張子が2つある場合、以下のように、間に複数のスペースが挿入されていることがあります。
- %filename.doc% （多数のスペース） %2ndExt%
・2番目の拡張子は以下のいずれかになります。
・ターゲットになるメールアドレスが以下のファイル拡張子を持つファイルから収集されます。
- wab
- pl
- adbh
- tbbg
- dbxn
- aspd
- phpq
- sht
- vbs
- cfg
- eml
- cgi
- wsh
- msg
- uin
- xls
- jsp
- xml
- mdx
- mbx
- html
- htmb
- txt
・W32/Mydoom.ae@MMが（手動）で実行されると、AVPR.EXEというファイル名でWindowsのシステムディレクトリに自身をコピーします。
（%Sysdir%は、Windowsのシステムディレクトリ。例：C:\WINDOWS\SYSTEM）
・以下のレジストリ項目を作成し、Windows起動時にフックします。
- HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run "Avpr" = %SysDir% \AVPR.EXE
・Windowsのシステムディレクトリにドロップ（作成）したDLLを利用します。
- %SysDir% \TCP5424.dll（5,632バイト）
・このDLLは、レジストリキーによって、再起動時にEXPLORER.EXEに挿入されます。
- HKEY_CLASSES_ROOT\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}\InProcServer32 "(Default)" = %SysDir% \TCP5424.dll
ピアツーピアを介した繁殖
・W32/Mydoom.ae@MMはリモートサイトからSCRAN.JPGファイルをダウンロードして実行します。このリモートファイルはSCRAN.EXEという名前に変更され、C:にコピーされます。このファイルにはP2Pワームが組み込まれており、ウイルス定義ファイル4400でW32/Scran.wormとして検出されます。
リモートアクセスコンポーネント
・DLLコンポーネントはTCPポート5424で接続を開くバックドアとして動作します。
