BAT_AUTORUN.AA

ワームは、他のマルウェアのパッケージとともにコンポーネントとしてコンピュータに侵入します。

ワームは、 Windows のタスクスケジューラを使い、「スケジュールされたタスク」を追加します。これにより、作成された自身のコピーが実行されます。 ワームは、他のマルウェアのコンポーネントです。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ワームは、特定のレジストリ値を変更し、隠しファイル属性のファイルを非表示にします。

侵入方法

ワームは、他のマルウェアのパッケージとともにコンポーネントとしてコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\windoxp.cmd

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

ワームは、 Windows のタスクスケジューラを使い、「スケジュールされたタスク」を追加します。これにより、作成された自身のコピーが実行されます。

ワームは、他のマルウェアのコンポーネントです。

自動実行方法

この「スケジュールされたタスク」により、以下の時間ごとにワームが実行されます。

• 1 minute from 7:43 for 24 hours every day, starting 11/21/2012

他のシステム変更

ワームは、インストールの過程で以下のレジストリキーまたはレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion
RegistredOwner = "KUZC-R"

(註：変更前の上記レジストリ値は、「{random computer name}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion
RegisteredOrganization = "Mexico (Veracruz)"

(註：変更前の上記レジストリ値は、「{random}」となります。)

感染活動

ワームは、すべての物理ドライブおよびリムーバブルドライブ内に以下として自身のコピーを作成します。

• {Drive Letter}\windoxp.cmd

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[autorun]
shellexecute=windoxp.cmd
icon=icon.ico

プロセスの終了

ワームは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• Internet Explorer
• Mozilla Firefox
• MSN Messenger
• Task Manager

その他

ワームは、以下のレジストリ値を変更し、隠しファイル属性のファイルを非表示にします。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = "00000000"

(註：変更前の上記レジストリ値は、「00000001」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = "00000000"

(註：変更前の上記レジストリ値は、「00000001」となります。)