|
|
ウイルス情報| ウイルス名 | 危険度 | | W32/Tupym.worm!env.a | |
|
|
|
| 概要 | TOPに戻る | |
・W32/Tupym.worm!env.aはYahooメッセンジャーを使って拡散します。また、Autorunが有効なシステムで自動的に実行されるよう、リムーバブルドライブにAutorun.iniファイルを作成して拡散する可能性があります。Yahooメッセンジャーの友だちリストのすべてのメンバーにダウンロードリンクを送信します。
|
|
| ウイルスの特徴 | TOPに戻る | |
・W32/Tupym.worm!env.aが実行されると、以下のレジストリ値が追加されます。
- HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run "Yahoo Messengger"
- データ： C:\WINDOWS\system32\system3_.exe
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Schedule "AtTaskMaxHours"
- データ： 00, 00, 00, 00
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Schedule "AtTaskMaxHours"
- データ： 00, 00, 00, 00
・以下のレジストリキーが改変されます。
- HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main "Start Page"
- 改変後のデータ： http://www.mydreamw[削除].50webs.com
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main "Default_Page_URL"
- 改変後のデータ： http://www.mydreamw[削除].50webs.com
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main "Default_Search_URL"
- 改変後のデータ： http://www.mydreamw[削除].50webs.com
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main "Search Page"
- 改変後のデータ： http://www.mydreamw[削除].50webs.com
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main "Start Page"
- 改変後のデータ： http://www.mydreamw[削除].50webs.com
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon "Shell"
- 改変後のデータ： Explorer.exe system3_.exe
・以下のファイルがドロップ（作成）／ダウンロードされます。
- c:\WINDOWS\system3_.exe (サイズ： 809,984バイト)
- c:\WINDOWS\system32\autorun.ini (サイズ： 102バイト)
- c:\WINDOWS\system32\system3_.exe (サイズ： 809,984バイト)
- c:\WINDOWS\Tasks\At1.job (サイズ： 350バイト)
・W32/Tupym.worm!env.aは、Yahooメッセンジャーをロードして、感染したユーザをIMクライアントにサインインさせようとします。さらに、Yahooメッセンジャーを介して悪質なリンクを送信して、ユーザの友だちに拡散しようとします。
・以下のドメインにアクセスする可能性があります。
www.mydreamwo[削除].50webs.com www.advgoogle.blog[削除].com [削除].ripwa[削除].com www.balu[削除].0catch.com advgoogle.[削除].com
・また、リムーバブルドライブが他のマシンに接続されたときに自身を実行するため、自身とAutorun.infをコピーして、リムーバブルドライブを介して拡散します。
|
|
| 以下の症状が見られる場合、このウイルスに感染している可能性があります。 | TOPへ戻る |
- Yahooメッセンジャー、ポータブルドライブを介して拡散します。
- レジストリを改変します。
|
|
| 感染方法 | TOPへ戻る | |
・W32/Tupym.worm!env.aは、Yahooの友だちリストに記載されているすべてのユーザ名に悪質なリンクを受け渡して拡散します。また、Autorunが有効なシステムで自動的に実行されるよう、リムーバブルドライブにAutorun.iniファイルを作成して拡散します。
|
|
|
|
|  |
