VBS_AUTORUN.FKJ

ワームは、特定のレジストリ値を追加し、タスクマネージャを無効にします。これにより、通常はタスクマネージャを介して行うワームのプロセスの終了が実行できなくなります。 ワームは、タスクマネージャやレジストリエディタ、フォルダオプションを無効にします。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %WINDOWS%\Sgt.sys.vbs

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
SysCom = %WINDOWS%\Sgt.sys.vbs

他のシステム変更

ワームは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
VBSFile
DefaultIcon = shell32.dll,5

HKEY_CLASSES_ROOT\VBSFile
DefaultIcon = shell32.dll,5

HKEY_CURRENT_USER\Softeware\Microsoft\
Internet Explorer\Main
Window Title = Bertakwalah kepada Alloh dimanapun kau berada.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
=

ワームは、以下のレジストリ値を追加し、タスクマネージャを無効にします。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
system
DisableTaskMgr = 0

ワームは、以下のレジストリ値を追加し、タスクマネージャやレジストリエディタ、フォルダオプションを無効にします。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoFolderOptions = 0
NoFind = 0
NoRun = 0
NoFileAssociate = 0
DisableRegedit = 0
DisableCMD = 0

感染活動

ワームは、すべての物理ドライブおよびリムーバブルドライブ内に以下として自身のコピーを作成します。

• Sgt.sys.vbs

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[autorun]
shellexecute=wscript.exe Sgt.sys.vbs