| 1. |
種別： ワーム |
| 2. |
亜種： 「Beagle」 |
| 3. |
別名：
I-Worm.Bagle.z [Kaspersky], WORM_BAGLE.Z [Trend], W32/Bagle.aa@MM
[McAfee],
W32/Bagle-AA [Sophos] |
| 4. |
差出人：詐称されています。 |
| 5. |
件名：次のものが確認されています。
| |
Re: Msg reply / Re: Hello / Re: Yahoo! / Re:
Thank you! / Re: Thanks :) / RE: Text message / Re: Document
/ Incoming message / Re: Incoming Message / RE: Incoming Msg
/ RE: Message Notify / Notification / Changes.. / New changes
/ Hidden message / Fax Message Received / Protected message
/ RE: Protected message / Forum notify / Site changes / Re:
Hi / Encrypted document |
|
| 6. |
本文：添付ファイルの拡張子が.zipの場合、次のうちいずれかを含みます。
| |
For security reasons attached file is password
protected. The password is / For security purposes the attached
file is password protected. Password -- / Note: Use password
/ Attached file is protected with the password for security
reasons. Password is / In order to read the attach you have
to use the following password: / Archive password: / Password
/ Password: |
他の拡張子の場合は、空白になります。 |
| 7. |
添付ファイル名：以下のファイル名と拡張子を組み合わせたものになります。
| |
| ファイル名： |
Information / Details / text_document
/ Readme / Document / Info / the_message / Details /
MoreInfo / Message / You_will_answer_to_me / Half_Live
/ Counter_strike / Loves_money / the_message / Alive_condom
/ Joke / Toy / Nervous_illnesses / Manufacture / You_are_dismissed
/ Your_complaint / Your_money / Smoke / I_search_for_you |
| 拡張子： |
.exe / .com / .scr / .zip |
|
|
| 8. |
感染すると、ワームは自分自身を%System%\drvddll.exeとしてコピーします。
| * |
%System%は可変です。このワームはシステムフォルダを探し出し、その場所に自分自身をコピーします。
標準では、このフォルダはC:\Windows\System32（Windows XP）です。 |
|
| 9. |
感染すると以下のファイルがWindowsのシステムフォルダ内に作成されます。
| |
drvddll.exeopen
| |
このファイルは、ワームのコピーにランダムにデータが付加されたものです。 |
|
drvddll.exeopenopen
| |
このファイルは、.zipファイル、.vbsファイル、.cplファイル、.htaファイル、またはワーム自身の場合があります。ファイルタイプにより、次のアクションが発生します。
|
| |
・ |
.zipファイルの場合：ランダムな名前のファイルを2つ含んでいます。1つは.exeファイルであり、もう1つは.sys、.dat、.idx、.vxd、.vid、あるいは.dllを拡張子に持つテキストファイルです。 |
| |
・ |
.vbsファイルの場合：システムフォルダにvss_2.exe という名前のファイルが作成されます。 |
| |
・ |
.cplファイルの場合：インストールフォルダに cplstub.exe
という名前のファイルが作成されます。 |
| |
・ |
.htaファイルの場合：システムフォルダに qwrk.exe という名前のファイルが作成されます。 |
|
drvddll.exeopenopenopen
| |
コンピュータ上にgdiplus.dllがある場合、このファイルの拡張子は、.jpgあるいは.gifです。無い場合は、.bmpです。 |
|
drvddll.exeopenopenopenopen
| |
このファイルは、6文字のランダムな文字を含むテキストファイルです。 |
|
|
|
| 10. |
起動時に必ず「W32.Beagle.X@mm」が実行されるよう、以下のレジストリキーが追加設定されます。
| * |
値 ： |
"Drvddll_exe"="%system%\drvddll.exe" |
| |
場所 ： |
上記値が次のレジストリキーに追加されます。
HKEY_CURRENT_USER\SOFTWARE\
Microsoft\Windows\CurrentVersion\Run |
|
