説明

W32.Lovgate.R@mm は W32.Lovgate@mm です。
このワームは大量メール送信ワームでコンピュータ上で発見した全ての電子メール アドレスへ自身を送信しようとします。
電子メールの送信者は偽装されており、件名と本文はメール毎に異なります。
別名:W32/Lovgate.x@MM, I-Worm.LovGate.w
以下のファイル名で自身をコピーします: %System%Hxdef.exe
以下のサービスを停止します: Rising Realtime Monitor Service, Symantec Antivirus Server, Symantec Client.
ローカル ネットワーク上の全てのコンピュータを検索し、以下のパスワードを使用して \"Administrator.\"としてログインしようとします。 FTP サーバをランダムポート上に開くので、確証がひつようではありません。このことは感染コンピュータが全ての任意の人物からアクセス可能であることを意味します。
ファイル名 Autorun.inf を CD-ROM ドライブ以外の全てのドライブのルートフォルダに生成し、フォルダに自身をファイル名 Command.com としてコピーします。全てのドライブを検索して、ドライブのタイプが取り外し可能かまたはマップされているか、ドライブ タイプが E 以上に固定されているかを調べます。当該ワームは全ての発見したドライブ上で以下のような行動を取ります。 すべての拡張子が .exe ファイルを .zmx に変更しようとします。
これらのファイルの属性を隠しまた System に設定します。 自身をオリジナル ファイル名でコピーします。 例えば、このワームが OriginalFile.exe というファイルを見つけると、 OriginalFile.zmx と名前を変更します。その後にこのワームは自身を OriginalFile.exe という名前でコピーします。
TCP ポート 135 を使用して DCOM RPC の脆弱性を悪用します (Microsoft セキュリティ情報 MS03-026 参照) 。
システム WAB ファイル、 一時 インターネット ファイル、すべての固定およびラム ディスクを検索して収集したすべての電子メール アドレスへ送信します。 自身の SMTP エンジンを使用して自身をステップ 25 と 26 で見つけた電子メール アドレスへ送信します。

追加/変更される値

次の値を追加します:
\"Hardware Profile\"=\"%System%\\hxdef.exe を以下のレジストリキーに追加します: HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Run
次の値を追加します: \"SystemTra\"=\"%Windir%\\Systra.exe\"
を以下のレジストリキーに追加します: HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\RunServices
次の値を追加します: \"run\"=\"RAVMOND.exe\"
を以下のレジストリ キーに追加します:
HKEY_CURRENT_USER\\Software\\Microsoft\\Windows NT\\CurrentVersion\\Windows
次のサブキーを生成します: HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\ZMXLIB1

削除方法

RegRun Startup Optimizer を使用してスタートアップから削除してください。

[RegRun Startup Optimizerを使って]という記述は、Greatis Software社のRegRun製品の一部の機能です。削除のために特に本ツールを使う必要はありません。レジストリエディタ(Regedit)など、Windowsのスタートアップ エントリに登録されたプログラムを削除できるツールを使うことで除去が可能です。または、HijackThis, XRayPCなども同様の機能を提供しています。

MD5チェックサム

最終変更日

2006/02/06 (Mon)