VBS_AUTORUN.BAW

リムーバブルドライブを介して感染活動を行います。

マルウェアは、他の不正プログラムに関連するファイルを削除します。

マルウェアは、疑わしいファイルを削除したり、マルウェアが一般的に変更するレジストリ値を復元したりといった、セキュリティ対策ソフトのスクリプトとして機能するよう作成されています。

ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\FAantivirus.vbs

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

ワームは、以下のフォルダを作成します。

• %Application Data%\dxdlls

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

他のシステム変更

ワームは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Window Title = Fusion|Ace Enterprises

ワームは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows NT\CurrentVersion\Winlogon
Shell = explorer.exe

(註：変更前の上記レジストリ値は、「explorer.exe」となります。)

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit = %System%\userinit.exe, %System%\wscript.exe %System%\FAantivirus.vbs

(註：変更前の上記レジストリ値は、「%System%\userinit.exe,」となります。)

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder\Hidden\
SHOWALL
CheckedValue = 1

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion
CurrentBuild = 1.511.1 () (Obsolete data - do not use)

(註：変更前の上記レジストリ値は、「{Operating System Dependent}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion
ProductId = 55274-640-1011873-23573

(註：変更前の上記レジストリ値は、「{Operating System Dependent}」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoFolderOptions = 0

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = 0

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableRegistryTools = 0

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Start Page = http://www.socio.fusionace.com

(註：変更前の上記レジストリ値は、「{user-defined}」となります。)

HKEY_CURRENT_USER\Software\Policies\
Microsoft\Windows\System
DisableCMD = 0

(註：変更前の上記レジストリ値は、「0」となります。)

感染活動

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {drive letter}:\FAantivirus.vbs

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[autorun]
open=wscript.exe FAantivirus.vbs
icon=%systemroot%\System32\SHELL32.dll,8
action=Open folder to view files
shell\open=Open
shell\open\Command=wscript.exe FAantivirus.vbs
shell\Auto=AutoPlay
shell\Auto\Command=wscript.exe FAantivirus.vbs
shell\Explore\Command=wscript.exe FAantivirus.vbs
shell\Find=Search...
shell\Find\Command=wscript.exe FAantivirus.vbs
shell\Format...=Format...
shell\Format...\Command=wscript.exe FAantivirus.vbs

その他

マルウェアは、他の不正プログラムに関連する以下とされるファイルを削除します。

• %Windows%\8bu.exe
• %Windows%\autorun.inf
• %Windows%\blastclnnn.exe
• %Windows%\boot.vbs
• %Windows%\dxdlg.exe
• %Windows%\hb1.com
• %Windows%\kinza.exe
• %Windows%\New Folder.exe
• %Windows%\New_Folder.exe
• %Windows%\sccvhsot.exe
• %Windows%\scvvhsot.exe
• %Windows%\sevhost.com
• %Windows%\sevhost.exe
• %Windows%\ssvchost.exe
• %Windows%\True Love.exe
• %Windows%\True_Love.doc.exe
• %Windows%\True_Love.exe
• %Windows%\true_love.exe
• %Windows%\wprop.exe
• %System%\8bu.exe
• %System%\autorun.inf
• %System%\blastclnnn.exe
• %System%\boot.vbs
• %System%\dxdlg.exe
• %System%\hb1.com
• %System%\kinza.exe
• %System%\New Folder.exe
• %System%\New_Folder.exe
• %System%\sccvhsot.exe
• %System%\scvvhsot.exe
• %System%\sevhost.com
• %System%\sevhost.exe
• %System%\ssvchost.exe
• %System%\True Love.exe
• %System%\True_Love.doc.exe
• %System%\True_Love.exe
• %System%\true_love.exe
• %System%\wprop.exe
• %System%\killvbs.vbs
• %System%\VirusRemoval.vbs
• %System%\CleanVirus.vbs
• %System%\Boot.vbs
• %Program Files%\Bonjour\mdnsNSP.dll
• %Program Files%\Bonjour\mdnsResponder.exe
• {drive letter}:\*.inf
• {drive letter}:\*.INF
• {drive letter}:\ravmon.exe
• {drive letter}:\autorun.inf
• {drive letter}:\sxs.exe
• {drive letter}:\kinza.exe
• {drive letter}:\SCVVHSOT.exe
• {drive letter}:\New Folder.exe
• {drive letter}:\Autorun.inf
• {drive letter}:\isetup.exe
• {drive letter}:\explorer.exe
• {drive letter}:\smss.exe
• {drive letter}:\winfile.exe
• {drive letter}:\run.wsh

マルウェアは、疑わしいファイルを削除したり、マルウェアが一般的に変更するレジストリ値を復元したりといった、セキュリティ対策ソフトのスクリプトとして機能するよう作成されています。