・W32/Nofear.c@MMは大量メール送信型ワームで、KaZaaを介しても繁殖します。また、さまざまなセキュリティソフトウェアを終了します。
電子メールを介した繁殖
・W32/Nofear.c@MMはSMTPを介して、Windowsのアドレス帳 (WAB)、Eudoraのアドレス帳、MSNメッセンジャーコンタクトにある電子メールアドレスへ自身を送信します。Internet Account Manager、またはmail.ruで指定されたデフォルトのSMTPサーバを使用します。以下のような件名の電子メールの添付ファイルで届きます。
- $150 FREE Bonus!!
- 25 merchants and rising!
- Announcement!
- Bad news!!
- CALL FOR INFORMATION!
- Click on this!
- Correction of errors!
- Cows
- Daily Email Reminder!
- Empty account!
- Fantastic!
- Free Shipping!
- FSM32
- Get 8 FREE issues - no risk!!
- Get a FREE gift!
- Greets!!
- Hi!
- History screen!
- I need help about script!!!
- Interesting...
- Introduction
- Its Easy! ing!
- Just a reminder!
- Lost & Found!
- Market Update Report!
- Membership Confirmation
- My eBay ads!
- New bonus in your cash account!
- New Contests!
- New Reading
- News
- Payment notices!
- Please Help...
- Report
- SCAM alert!!!
- Sponsors needed!
- Star Wars II Movie
- Stats
- Today Only!!
- Tools For Your Online Business!
- Various!
- Warning!
- Wow!
- Your Gift!
- Your News Alert!!
・電子メールメッセージの本文は、以下のいずれかです。
- Attached one Gift for u..
- Check the Attachment!
- Check the Attachment..
- Enjoy the Attachment!
- Hi Check the Attachment ...
- More details Attached!
- See the Attachment!
・添付ファイルの名前は、以下のいずれかです。
- bullsh**scr
- friends
- friends4u
- friendscr
- friendsearch
- friendsgreetings
- friendship
- friendship4u
- friendshipbird
- friendshipforu
- friendsworld
- fu**er
- greetings
- love4u
- lovefinder
- lovegreetings
- lovers
- loverscreensaver
- lovescr
- loveshore
- passion
- passionup
- rishtha
- shakeit
- shakescr
- shakinglove
- shakingfriendship saver
- shareit
- truefriends
- truelovers
- werfriends
・上記のファイルには、以下の二重拡張子がついています。
- .bmp
- .dat
- .gif
- .htm
- .jpg
- .mdb
- .mpg
- .zip
・以下の拡張子が最後につきます。
・添付ファイルが実行されると、以下の偽のエラーメッセージのいずれかを表示します。
・ウイルスが実行されると、以下のファイルに自身をコピーします。
- random characters.exe（48キロバイト）
- kernel.dll（70キロバイト）
- svchost.exe（48キロバイト）
・以下のレジストリ実行キーを作成して、ワームを起動時に読み込みます。
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\
Run "random name" = %WinDir%\random name.exe
・以下のレジストリ値を作成して、ワーム情報を保存します。
- HKEY_LOCAL_MACHINE\SOFTWARE\random name "0"
- HKEY_LOCAL_MACHINE\SOFTWARE\random name "1"
- HKEY_LOCAL_MACHINE\SOFTWARE\random name "2"
- HKEY_LOCAL_MACHINE\SOFTWARE\random name "email_num"
- HKEY_LOCAL_MACHINE\SOFTWARE\random name "Sent"
ワームのコピー
・W32/Nofear.c@MMはファイル名を作成して、自身のコピーのファイル名に使用します。ファイル名は、以下の3つのパートで構成されます。
パート1
- Age Of Empires 2
- Age of Sail 2
- Age Of Wonders 2
- AikaQuest3Hentai
- AIM Account Stealer
- Aliens versus Predator 2 Primal Hunt
- Austerlitz Napoleons Greatest Victory
- Battle.net
- Black And White
- Borland Delphi 6
- BORLAND Delphi 7
- Cabelas Ultimate Deer Hunt 2
- Cat Attacks Child
- Civilization 3
- CKY3 - Bam Margera World Industries Alien Workshop
- Clive Barker's Undying
- CloneCD
- Comanche 4
- Combat Flight Simulator 3
- Crazy Taxi
- Critical Point Manga game
- Dark Age Of Camelot Shrouded Isles
- Deadly Dozen
- DSL Modem Uncapper
- Duke Nukem Manhattan Project
- Dweebs 2
- Elder Scrolls III Morrowind THX Brrbrr
- Emperor Rise Of the Middle Kingdom
- Empire Earth
- F1 Grand Pix 4
- Free Virus Removal Tool From Symantec
- Freedom Force
- Gearhead Garage
- Gladiator
- Grand Prix 4
- Grand Theft Auto 3
- GTA 3
- Hacking Tool Collection
- Half Life Blue Shift
- Half-life ONLINE
- Half-life WON
- Hard Truck 18 Wheels of Steel
- Hitman 2 Silent Assassin
- Hoyle Card Games 2003
- Industry Giant 2
- International Cricket Captain 2003
- Internet and Computer Speed Booster
- KaZaA Media Desktop v2.5 UNOFFICIAL
- KaZaA Spyware Remover
- LordOfTheRingsr
- Macromedia
- Macromedia Dreamweaver MX
- Macromedia Flash 5.0
- Mafia
- Microsoft Office XP (English)
- MoviezChannelsInstaler
- MS Train Simulator
- MSN Password Hacker and Stealer
- Necromania Trap Of Darkness
- Need For Speed 5 Porsche Unleashed
- Nero Burning Rom 5.8.0.1
- Neverwinter Nights
- Norton AntiVirus 2002
- Norton Utilities 2002 XP
- Prisoner Of War
- Quake 3 Arena
- Quake 4 BETA
- Red Ace Squadron
- Shakira
- SIMS
- Soldier Of Fortune 2
- Soldiers Of Anarchy
- Squad Battles Eagles Strike
- Star Wars II Movie
- Star Wars Starfighter
- Strike Fighter Project 1
- Stronghold Crusader
- Sudden Strike 2
- The Eye Of Kraken
- The Neverending Story Part I
- The Sun Of All Fears
- The Thing
- Tomb Raider 3
- Unreal Tournament 3
- Valhalla Chronicles
- Warcraft 3
- Warcraft 3 battle.net
- Warcraft 3 ONLINE
- Windows XP
- Windows XP SP1
- Winrar 3.2
- Winzip 8.0
- Xbox.info
- Zidane-ScreenInstaler
- ZoneAlarm Firewall
パート2
パート3
- Key Generator.exe
- Full Downloader.exe
- Patch.exe
- Crack.exe
ソフトウェアの終了
・以下の文字列を含む実行中のプロセスを終了します。
- _AVP32
- _AVPCC
- _AVPM
- ACKWIN32
- ADVXDWIN
- AGENTW.EXE
- ALERTSVC
- ALOGSERV
- AMON9X
- ANTI-TROJAN
- ANTS
- APVXDWIN
- ATCON
- ATUPDATER
- ATWATCH
- AUTODOWN
- AVCONSOL
- AVGCC32
- AVGCTRL
- AVGSERV
- AVGSERV9
- AVGW
- AVKPOP
- AVKSERV
- AVKSERVICE
- AVKWCTL9
- AVP C
- AVP32
- AVPCC
- AVPM
- AVPM.EXE
- AVSCHED32
- AVSYNMGR
- AVWINNT
- AVXMONITOR9X
- AVXMONITORNT
- AVXQUAR
- AVXQUAR.EXE
- AVXW
- BLACKD
- BLACKICE
- C.EXE
- CCAPP.EXE
- CCEVTMGR
- CCEVTMGR.EXE
- CCPXYSVC.EXE
- CDP
- CDP.EXE
- CFGWIZ
- CLAW95
- CLAW95C
- CLEANER
- CLEANER3
- CMGRDIAN
- CONNECTIONMONITOR
- CPD
- CPD AT
- CPDCLNT
- CPDCLNT.EXE
- CTRL
- CTRL.EXE
- DEFALERT
- DEFSCANGUI
- DEFWATCH
- DOORS H
- DOORS.EXE
- DVP95
- DVP95_0
- EFPEADM
- EFPEADM.EXE
- ETRUSTCIPE
- ETRUSTCIPE.EXE
- EVPN.EXE
- EXPERT
- F-AGNT95
- FAMEH32
- FCH32
- FIH32
- FNRB32
- F-PROT
- F-PROT95
- FP-WIN
- FRW ERV
- FSAA
- FSAV32
- FSGK32
- FSGK32.EXE
- FSMA32
- FSMB32
- F-STOPW
- GBMENU
- GBPOLL
- GENERICS
- GUARD
- IAMAPP
- IAMSERV
- IAMSERV
- IAMSTATS
- ICLOAD95
- ICLOADNT
- ICMON
- ICSUPP95
- ICSUPPNT
- IFACE
- IOMON98
- ISRV95
- ITOR
- JEDI
- LDNETMON
- LDPROMENU
- LDSCAN
- LOCKDOWN
- LOCKDOWN2000
- LUALL
- LUCOMSERVER
- LUSPT
- MCAGENT
- MCMNHDLR
- MCTOOL
- MCUPDATE
- MCVSRTE
- MCVSSHLD
- MGAVRTCL
- MGAVRTE
- MGHTML
- MINILOG
- MONITOR
- MOOLIVE
- MPFAGENT.EXE
- MPFSERVICE
- MPFTRAY.EXE
- MWATCH
- NAV AUTO-PROTECT
- NAVAP
- NAVAPSVC
- NAVAPW32
- NAVENGNAVEX15
- NAVLU32
- NAVW32
- NAVWNT
- NDD32
- NEOWATCHLOG
- NETUTILS
- NISSERV
- NISUM
- NMAIN
- NORMIST
- NOTST ART
- NPROTECT
- NPROTECT.EXE
- NPSSVC
- NSCHED32
- NTRTSCAN
- NTVDM
- NTXCONFIG
- NUI AN
- NUPGRADE
- NVC95 T
- NVSVC32
- NWSERVICE
- NWTOOL16
- PADMIN
- PAVPROXY
- PCCIOMON
- PCCNTMON
- PCCWIN97
- PCCWIN98
- PCSCAN
- PERSFW
- PERSWF
- POP3TRAP
- POPROXY
- PORTMONITOR
- PROCESSMONITOR
- PROGRAMAUDITOR
- PVIEW95
- P-WIN.EXE
- R.EXE
- RAV7
- RAV7WIN
- REALMON
- RESCUE
- RTVSCN95
- RULAUNCH
- SBSERV
- SCAN32
- SCRSCAN
- SMC
- SPHINX
- SPYXX
- SS3EDIT
- SWEEP95
- SWEEPNET
- SWEEPSRV.SYS
- SWNETSUP
- SYMPROXYSVC h1
- SYMTRAY
- TAUMON
- TC
- TCA
- TCM
- TDS-3 DI
- TFAK
- VBCMSERV
- VBCONS
- VET32
- VET95
- VETTRAY
- VIR-HELP
- VPC32
- VPTRAY
- VSCHED
- VSECOMR
- VSHWIN32
- VSMAIN
- VSMON
- VSSTAT
- WATCHDOG
- WEBSCANX
- WEBTRAP
- WGFE95
- WIMMUN32
- WRADMIN
- WRADMIN.EXE
- WRCTRL
- ZAPRO
- ONEALARM
KaZaaを介した繁殖
・W32/Nofear.c@MMは%WinDir%\Driversフォルダに、上記の作成したファイル名で自身のコピーを保存します。KaZaa downloadディレクトリのレジストリを以下のように改変して、%WinDir%\Driversフォルダを指示します。
- HKEY_CURRENT_USER\Software\KAZAA\LocalContent
Shareazaを介した繁殖
・W32/Nofear.c@MMはMy Downloads フォルダに、上記の作成したファイル名で自身のコピーを保存します。Shareaza downloadディレクトリのレジストリを改変して、My Downloadsフォルダを指示します。
