Email-Worm.Win32.PrettyPark

技術的な詳細

これはインターネットを介して広がるウイルスワームです。これは、電子メールに添付されたPrettyParkユーティリティとして表示されます。実行されると、システムに自身をインストールし、感染したメッセージ（添付ファイル付き）をWindowsアドレス帳に記載されているアドレスに送信し、IRCチャネル上でシステム設定とパスワードについてユーザに通知し、バックドアとしても使用できます。

ワーム自体は約37KbのWindows PE実行可能ファイルです。このファイルはWWPack32ユーティリティーによって圧縮されています。展開されていると、Delphiで書かれた58KbのEXEファイルであるように見えますが、ファイル内の「純粋な」コードは約45KBしか占めていません。ワームは、Delphiアプリケーションのためのこの短いサイズにもかかわらず、非常に危険で高速な展開プログラムになる多くの機能を備えています。

ワームが初めてシステムで実行されると、システムメモリに既にインストールされているそのコピーを探します。このワームは、＃32770のウィンドウキャプションを持つアプリケーションを探すことによってこれを行います。そのようなウィンドウがない場合、ウィルスは隠れたアプリケーション（タスクリストには表示されません）として自身を登録し、インストールルーチンを実行します。

ワームは、システムにインストールする際に、そのファイルをFILES32.VXDファイル名でWindowsシステムディレクトリにコピーし、他のアプリケーションが起動するたびに実行されるようにシステムレジストリに登録します。ウイルスは、HKEY_CLASSES_ROOTに新しいキーを作成することで、キー名はexefileshellopencommandであり、Windowsシステムフォルダに作成されたFILES32.VXDファイルでワームコピーに関連付けられます。このファイルは拡張子が.VXDですが、VxD Win95 / 98ドライバではなく、むしろWindowsの実行可能ファイルです。

インストール中にエラーが発生した場合、ワームはSSPIPES.SCRスクリーンセーバーをアクティブにします（その活動を隠すために？）。そのようなファイルが見つからない場合、ワームはCanalisation3D.SCRスクリーンセーバーをアクティブにしようとします。

その後、ワームはソケット（インターネット）接続を開始し、起動されたルーチンを実行します。最初の起動は30秒に1回、もう1回は30分に1回実行されます。

これらのルーチンの1つ目は、起動するたびにIRCチャット（下記のリストを参照）チャネルに接続しようと試み、特別な要求によってこれらのチャネル上のユーザーにメッセージを送信します。このようにして、ワームの作者は影響を受けたステーションを捕まえてそれらを監視するようです。ワームが接続を試みるIRCサーバのリストは次のとおりです：

irc.twiny.net

irc.stealth.net

irc.grolier.net

irc.club-internet.fr

ircnet.irc.aol.com

irc.emn.fr

irc.anet.com

irc.insat.com

irc.ncal.verio.net

irc.cifnet.com

irc.skybel.net

irc.eurecom.fr

irc.easynet.co.uk

ホスト（ウイルス作成者）が認識しているため、このワームはバックドア型トロイの木馬として操作される可能性があります。一連のコマンドにより、システム構成、ディスクリスト、ディレクトリ情報、機密情報をリモートホストに送信します。インターネットアクセスのパスワードと電話番号、リモートアクセスサービスのログイン名とパスワード、ICQ番号などです。バックドアはディレクトリの作成/削除、ファイルの送受信、削除や実行も可能です。

30分に1回起動する2番目のルーチンは、Windowsアドレス帳ファイルを開き、そこからインターネットアドレスを読み取り、それらにメッセージを送信します。このメッセージは、アドレス帳の内容に応じて、プライベート電子メールアドレスに送信するだけでなく、インターネット会議に送信することもできます。メッセージの件名フィールドには次のテキストが含まれています。

C：CoolProgsPretty Park.exe

メッセージ自体には、ワームの添付されたコピーだけが含まれています。