STEM\dnetc.exe.次に我々は実際のワームmsi216.exeが植え込まれたのを確認した。これは自動的に脆弱なシステムを探し、自己増殖する。このワームによって、莫大な量のスキャンを受けた。イルをアップロードした。的は実行を得ることであった。することでワームをブート中に読み込むのである。いwin.iniファイルは我々の侵されたシステムに置かれた。e=0....[intl]..i以上である。今もハニーポットは感染している。ステムをリブートすればワームが効き始める。効き始めれば、何かが起きる。distributed.netクライアントが開始され、CPUサイクルがコンテストに使われる。ワームは他の脆弱なシステムを探し、自動増殖する。これがUDP137とTCP139のスキャンである。ワームは次のレジストリキーを追加するであろう。HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices\Bymer.scannerリブートを待つことは実行するのに信頼が置けない。Worm忙しい週である。2番目のワームが次の日にやってきた。イクルをコントロールするためのものだ。イルがwininit.exeのひとつに一体化されているという点だ。c:/windows/wininit.exeにインストールする。これはクラッカー社会ではありふれたことである。初のワームと同じように働く。wininit.exeの結果である。ト名はWINDOW、ドメイン名はLVCWである。win.iniを書き換え、リブート時に実行されるようにする。書き換えられたc:/windows/win.iniを見てみよう。...[Desktop]..Waリブートすると、このワームは前のと同じように同じプロセスを開始する。気に止めておいてほしいのは、我々を攻撃しているリモートの人物は、クラッカー社会ではそんなに悪いことはやっていない。侵入者はリモートでの罪のない傍観者なのである。所有者はワームが自分のシステムで走っていることも知らないし、踏み台にされてインターネット上の他の脆弱システムへのスキャンや侵入をしていることも知らない。ダイヤルアップ接続でもこのような攻撃の危険性がある。これは他の侵されたシステムから仕掛けられた戦争なのである。我々のハニーポットのように、踏み台にしているのである。After次の日、違った種類のワームがハニーポットに侵入した。つければ、同じようなワームがインストールされているかを確認した。後日の別のはmsi216.exeがインストールされているかを確認した。.リモートシステムのNetBIOS名はMATTHEW、アカウントはMPYLE、ドメイン名はMPYLEである。STEM\dnetc.ini.次の日の11月4日に面白いことが始まった。ンストールされていないかを確認した。3日のうちに5つのシステムがワームを探して探索をかけてきた。ハニーポットはbymer.boom.ruとhttp接続を始めた。マスターサーバをアップデートさせるものであった。ムは一時期ワームを操作するマスターであった。