WORM_AUTORUN.EPA

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、以下のフォルダを追加します。

• {Removable Drive}:\Folder
• {Removable Drive}:\Folder\SubFolder

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\afd.exe
• {Removable Drive}:\Folder\SubFolder\file.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

ワームは、以下のファイルを作成します。

• {Removable Drive}:\Folder\SubFolder\Desktop.ini
• {Removable Drive}:\autorun.inf

ワームは、以下のプロセスを追加します。

• netsh firewall add allowedprogram 1.exe 1 ENABLE

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Ctfmon32 = %Application Data%\afd.exe

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Terminal Server\
Install\Software\Microsoft\
Windows\CurrentVersion\Run
Ctfmon32 = %Application Data%\afd.exe

他のシステム変更

ワームは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplicataions\
List\%User Temp%
{malware file name}.exe = {malware directory}\{malware file name}.exe:*:Enabled:Ctfmon32

その他

ワームは、以下の不正なWebサイトにアクセスします。

• one.{BLOCKED}t.com