VBS_OTORUN.FW

ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• {Fixed Drive Letter}:\{Malware Name}

ワームは、以下のプロセスを追加します。

• wmplayer.exe
• iexplore.exe
• firefox.exe

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
MediaPlayer = "%System Root%\{Malware Name}"

他のシステム変更

ワームは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Start Page = "http://nagon.net/"

感染活動

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {Removable Drive Letter}:\{Malware Name}

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

その他

ワームは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}n.net/
• http://{BLOCKED}v.ru/asx/tv_id11.asx
• http://www.{BLOCKED}television.org/live/live270.asx
• http://www.{BLOCKED}r.by/liveair/btv.asx
• http://{BLOCKED}v.ru/asx/tv_id428.asx
• http://www.{BLOCKED}i.ru/video1.asx?vid=onair
• http://{BLOCKED}v.ru/asx/tv_id897.asx
• http://{BLOCKED}v.ru/asx/tv_id509.asx
• mms://{BLOCKED}.{BLOCKED}.226.11/MIRTV_300
• http://{BLOCKED}v.ru/asx/tv_id840.asx
• http://{BLOCKED}v.ru/asx/tv_id59.asx
• http://{BLOCKED}v.ru/asx/tv_id1357.asx
• http://{BLOCKED}v.ru/asx/tv_id549.asx
• http://{BLOCKED}v.ru/asx/tv_id818.asx
• http://{BLOCKED}v.ru/asx/tv_id886.asx
• http://{BLOCKED}v.ru/asx/tv_id575.asx
• http://{BLOCKED}v.ru/asx/tv_id579.asx
• http://{BLOCKED}v.ru/asx/tv_id858.asx
• http://{BLOCKED}v.ru/asx/tv_id215.asx
• http://{BLOCKED}v.ru/asx/tv_id389.asx
• http://{BLOCKED}v.ru/asx/tv_id1170.asx
• http://{BLOCKED}.{BLOCKED}.143.2:8080/
• http://{BLOCKED}v.ru/asx/tv_id586.asx

ただし、情報公開日現在、このWebサイトにはアクセスできません。