・W32/Mydoom.cfはW32/Mydoomウイルスの亜種です。この亜種はSMTPを介して繁殖する可能性があります。
・W32/Mydoom.cfの実行時、以下のレジストリキーが感染したホストに追加されます。
- HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.ex_
- HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.ex_\OpenWithList
- HKEY_CLASSES_ROOT\CLSID\{425882B0-B0BF-11CE-B59F-00AA006CB37D}
- HKEY_CLASSES_ROOT\CLSID\{425882B0-B0BF-11CE-B59F-00AA006CB37D}\InProcServer32
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_NM
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_NM\0000
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_NM\0000\Control
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_NPF
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_NPF\0000
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_NPF\0000\Control
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\nm\Enum
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\NPF\Enum
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WmiConfig
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WmiConfig\Parameters
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WmiConfig\Security
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\nm\Enum
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NPF\Enum
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WmiConfig
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WmiConfig\Parameters
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WmiConfig\Security
・自動実行を可能にするため、先に作成されたキーに対して以下のレジストリ値が設定されます。
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WmiConfig "Description"
Data: Configures and manages performance library information from WMI HiPerf providers.
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WmiConfig "DisplayName"
Data: WMI Performance Configuration
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WmiConfig "ErrorControl"
Data: [Value]
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WmiConfig "ImagePath"
Data: %SystemRoot%\system32\svchost.exe -k wmiconf
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WmiConfig "ObjectName"
Data: LocalSystem
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WmiConfig "Start"
Data: [Value]
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WmiConfig "Type"
Data: [Value]
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WmiConfig\Parameters "ServiceDll"
Data: %WinDir%\System32\wmiconf.dll
・ネットワーク対応のdllが期待したバージョンでない場合、更新しようとします。一例は以下のとおりです。
- %WinDir%\system32\drivers\npf.sys
- %WinDir%\system32\Packet.dll
- %WinDir%\system32\WanPacket.dll
- %WinDir%\system32\npptools.dll
- %WinDir%\system32\packet.dll
- %WinDir%\system32\WanPacket.dll
- %WinDir%\system32\wpcap.dll
・ホストに以下のファイルがドロップ（作成）されます。ドロップされるファイルには、アクセスするURLのリスト、自身のコピー、dllコンポーネントが含まれます。
- %WinDir%\system32\[ランダムな文字].nls - 「W32/Mydoom!txt」という名前で検出
- %WinDir%\system32\wmcfg.exe - 「W32/Mydoom.cf」という名前で検出
- %WinDir%\system32\wmiconf.dll - 「W32/Mydoom.cf.dll」という名前で検出
・以下のアドレスにアクセスして、さらにマルウェアコンポーネントをダウンロードする可能性があります。
- 213.33.[削除]
- 216.199.[削除]
- 213.023.[削除]
