WORM_AUTORUN.HUU

ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、フォルダを作成し、このフォルダ内に自身のファイルを作成します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ワームは、特定のWebサイトにアクセスします。これにより、不正リモートユーザにワームのインストールが知らされます。また、不正なファイルがダウンロードされます。この結果、感染コンピュータは、さらなる他の脅威にさらされることとなります。

ワームは、ユーザが特定のWebサイトにアクセスできないように、感染コンピュータのHOSTSファイルを改変します。

ワーム マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した ワーム ）を削除します。

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、以下のファイルを作成します。

• %Windows%\programs\desktop.ini
• %Windows%\programs\fuckme.vbs
• %Windows%\programs\wsock32.dll
• %Windows%\Tasks\°²×°.bat - used to delete the initially executed copy
• %System Root%\sks.vbs

(註：%Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。. %System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Windows%\programs\ini.exe

(註：%Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)

ワームは、フォルダを作成し、このフォルダ内に自身のファイルを作成します。

ワームは、以下のフォルダを作成します。

• %Windows%\programs

(註：%Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Active Setup\Installed Components\{H8I22RB03-AB-B70-7-11d2-9CBD-0O00FS7AH6-9E2121BHJLK}
stubpath = "%windir%\programs\fuckme.vbs"

他のシステム変更

ワームは、以下のファイルを削除します。

• %Windows%\Help\access.chm
• %Windows%\Help\access.hlp
• %Windows%\Help\accessib.chm
• %Windows%\Help\acc_dis.chm
• %Windows%\Help\aclui.chm
• %Windows%\Help\aclui.hlp
• %Windows%\Help\addremov.chm
• %Windows%\Help\ade.hlp
• %Windows%\Help\admtools.chm
• %Windows%\Help\adprop.hlp
• %Windows%\Help\agt0405.hlp
• %Windows%\Help\agt0406.hlp
• %Windows%\Help\agt0407.hlp
• %Windows%\Help\agt0408.hlp
• %Windows%\Help\agt0409.hlp
• %Windows%\Help\agt040b.hlp
• %Windows%\Help\agt040c.hlp
• %Windows%\Help\agt040e.hlp
• %Windows%\Help\agt0410.hlp
• %Windows%\Help\agt0413.hlp
• %Windows%\Help\agt0414.hlp
• %Windows%\Help\agt0415.hlp
• %Windows%\Help\agt0416.hlp
• %Windows%\Help\agt0419.hlp
• %Windows%\Help\agt041d.hlp
• %Windows%\Help\agt041f.hlp
• %Windows%\Help\agt0816.hlp
• %Windows%\Help\agt0c0a.hlp
• %Windows%\Help\apps.chm
• %Windows%\Help\apps_sp.chm
• %Windows%\Help\article.chm
• %Windows%\Help\atm.chm
• %Windows%\Help\audiocdc.hlp
• %Windows%\Help\audit.chm
• %Windows%\Help\bckg.chm
• %Windows%\Help\blurbs.chm
• %Windows%\Help\blutooth.chm
• %Windows%\Help\bnts.dll
• %Windows%\Help\bootcons.chm
• %Windows%\Help\brief.chm
• %Windows%\Help\calc.chm
• %Windows%\Help\calc.hlp
• %Windows%\Help\camera.chm
• %Windows%\Help\camera.hlp
• %Windows%\Help\cdmedia.chm
• %Windows%\Help\cdmedia.hlp
• %Windows%\Help\certmgr.chm
• %Windows%\Help\certmgr.hlp
• %Windows%\Help\charmap.chm
• %Windows%\Help\charmap.hlp
• %Windows%\Help\chkr.chm
• %Windows%\Help\chnscsvr.hlp
• %Windows%\Help\chooser.hlp
• %Windows%\Help\ciadmin.htm
• %Windows%\Help\ciquery.htm
• %Windows%\Help\clipbrd.chm
• %Windows%\Help\clipbrd.hlp
• %Windows%\Help\cmconcepts.chm
• %Windows%\Help\colormgt.chm
• %Windows%\Help\comexp.chm
• %Windows%\Help\comexp.hlp
• %Windows%\Help\common.chm
• %Windows%\Help\compfldr.chm
• %Windows%\Help\compmgmt.chm
• %Windows%\Help\compstui.hlp
• %Windows%\Help\conf.chm
• %Windows%\Help\conf.cnt
• %Windows%\Help\conf.hlp
• %Windows%\Help\conf1.chm
• %Windows%\Help\connect.cnt
• %Windows%\Help\connect.hlp
• %Windows%\Help\cpanel.chm
• %Windows%\Help\cpanel.chq
• %Windows%\Help\cscui.hlp
• %Windows%\Help\cyycoins.chm
• %Windows%\Help\cyzcoins.chm
• %Windows%\Help\datetime.chm
• %Windows%\Help\ddeshare.chm
• %Windows%\Help\ddeshare.hlp
• %Windows%\Help\defrag.chm
• %Windows%\Help\defrag.hlp
• %Windows%\Help\devmgr.chm
• %Windows%\Help\devmgr.hlp
• %Windows%\Help\dfs.hlp
• %Windows%\Help\diagboot.chm
• %Windows%\Help\dialer.chm
• %Windows%\Help\dialer.hlp
• %Windows%\Help\digiras.chm
• %Windows%\Help\dijoy.hlp
• %Windows%\Help\diskmgmt.chm
• %Windows%\Help\diskmgmt.hlp
• %Windows%\Help\display.chm
• %Windows%\Help\display.hlp
• %Windows%\Help\dkconcepts.chm
• %Windows%\Help\drvvfp.chm
• %Windows%\Help\drwtsn32.chm
• %Windows%\Help\drwtsn32.hlp
• %Windows%\Help\dsclient.hlp
• %Windows%\Help\dskquoui.chm
• %Windows%\Help\dskquoui.hlp
• %Windows%\Help\dxdiag.chm
• %Windows%\Help\els.chm
• %Windows%\Help\els.hlp
• %Windows%\Help\encrypt.chm
• %Windows%\Help\eudcedit.chm
• %Windows%\Help\eudcedit.hlp
• %Windows%\Help\evconcepts.chm
• %Windows%\Help\evntwin.hlp
• %Windows%\Help\fde.hlp
• %Windows%\Help\filefold.chm
• %Windows%\Help\filefold.hlp
• %Windows%\Help\filemgmt.hlp
• %Windows%\Help\file_srv.chm
• %Windows%\Help\find.chm
• %Windows%\Help\folderop.chm
• %Windows%\Help\fonts.chm
• %Windows%\Help\fonts.hlp
• %Windows%\Help\freecell.chm
• %Windows%\Help\freecell.hlp
• %Windows%\Help\fxsclnt.chm
• %Windows%\Help\fxsclnt.hlp
• %Windows%\Help\fxscover.chm
• %Windows%\Help\fxsshare.chm
• %Windows%\Help\gen.chm
• %Windows%\Help\Glossary.chm
• %Windows%\Help\gpedit.chm
• %Windows%\Help\gpedit.hlp
• %Windows%\Help\gptext.hlp
• %Windows%\Help\halftone.hlp
• %Windows%\Help\hardware.chm
• %Windows%\Help\hardware.hlp
• %Windows%\Help\howto.chm
• %Windows%\Help\hrtz.chm
• %Windows%\Help\hs.chm
• %Windows%\Help\hschelp.chm
• %Windows%\Help\hypertrm.chm
• %Windows%\Help\hypertrm.hlp
• %Windows%\Help\icwdial.chm
• %Windows%\Help\ident.hlp
• %Windows%\Help\ieakmmc.chm
• %Windows%\Help\ieeula.chm
• %Windows%\Help\ieos.chm
• %Windows%\Help\ieshared.chm
• %Windows%\Help\iesupp.chm
• %Windows%\Help\iewebhlp.chm
• %Windows%\Help\iexplore.chm
• %Windows%\Help\iexplore.hlp
• %Windows%\Help\iis.chm
• %Windows%\Help\iismmc.chm
• %Windows%\Help\imgprev.chm
• %Windows%\Help\inetres.chm
• %Windows%\Help\infrared.chm
• %Windows%\Help\infrared.hlp
• %Windows%\Help\input.chm
• %Windows%\Help\input.hlp
• %Windows%\Help\intellimirror.chm
• %Windows%\Help\ipsecconcepts.chm
• %Windows%\Help\ipsecsnp.chm
• %Windows%\Help\ipsecsnp.hlp
• %Windows%\Help\Ipv6.chm
• %Windows%\Help\is.chm
• %Windows%\Help\isconcepts.chm
• %Windows%\Help\ixhelp.hlp
• %Windows%\Help\ixqlang.htm
• %Windows%\Help\joy.chm
• %Windows%\Help\key.chm
• %Windows%\Help\keyb.chm
• %Windows%\Help\keyshort.chm
• %Windows%\Help\lang.chm
• %Windows%\Help\langbar.chm
• %Windows%\Help\license.chm
• %Windows%\Help\localsec.chm
• %Windows%\Help\localsec.hlp
• %Windows%\Help\lpe.chm
• %Windows%\Help\lpeconcepts.chm
• %Windows%\Help\magnify.chm
• %Windows%\Help\magnify.hlp
• %Windows%\Help\mail.chm
• %Windows%\Help\mfcuix.hlp
• %Windows%\Help\migwiz.htm
• %Windows%\Help\migwiz2.htm
• %Windows%\Help\misc.chm
• %Windows%\Help\mls_trb.chm
• %Windows%\Help\mmc.chm
• %Windows%\Help\mmc_dlg.hlp
• %Windows%\Help\mobsync.chm
• %Windows%\Help\mobsync.hlp
• %Windows%\Help\mode.chm
• %Windows%\Help\modem.hlp
• %Windows%\Help\mouse.chm
• %Windows%\Help\mouse.hlp
• %Windows%\Help\mpconcepts.chm
• %Windows%\Help\mplayer2.cnt
• %Windows%\Help\mplayer2.hlp
• %Windows%\Help\mpnetwrk.hlp
• %Windows%\Help\mqsnap.hlp
• %Windows%\Help\msconfig.chm
• %Windows%\Help\msdasc.chm
• %Windows%\Help\mshearts.chm
• %Windows%\Help\mshearts.cnt
• %Windows%\Help\mshearts.hlp
• %Windows%\Help\msinfo32.chm
• %Windows%\Help\msmq.chm
• %Windows%\Help\msmqconcepts.chm
• %Windows%\Help\msnauth.cnt
• %Windows%\Help\msnauth.hlp
• %Windows%\Help\msoe.chm
• %Windows%\Help\msoe.hlp
• %Windows%\Help\msoeacct.hlp
• %Windows%\Help\msorcl32.chm
• %Windows%\Help\mspaint.chm
• %Windows%\Help\mspaint.hlp
• %Windows%\Help\mstask.chm
• %Windows%\Help\mstask.hlp
• %Windows%\Help\mstsc.chm
• %Windows%\Help\netcfg.chm
• %Windows%\Help\netcfg.hlp
• %Windows%\Help\network.chm
• %Windows%\Help\newfeat1.chm
• %Windows%\Help\newfeat1.hlp
• %Windows%\Help\newfeat2.chm
• %Windows%\Help\newfeat2.hlp
• %Windows%\Help\newfeat3.chm
• %Windows%\Help\newfeat3.hlp
• %Windows%\Help\newfeat4.chm
• %Windows%\Help\newfeat4.hlp
• %Windows%\Help\newfeat5.chm
• %Windows%\Help\newfeat5.hlp
• %Windows%\Help\nmchat.chm
• %Windows%\Help\nmwhiteb.chm
• %Windows%\Help\nocontnt.cnt
• %Windows%\Help\nofts.chm
• %Windows%\Help\notepad.chm
• %Windows%\Help\notepad.hlp
• %Windows%\Help\ntart.chm
• %Windows%\Help\ntbackup.chm
• %Windows%\Help\ntbackup.hlp
• %Windows%\Help\ntchowto.chm
• %Windows%\Help\ntcmds.chm
• %Windows%\Help\ntdef.chm
• %Windows%\Help\nthelp.chm
• %Windows%\Help\ntshared.chm
• %Windows%\Help\ntshrui.hlp
• %Windows%\Help\nusrmgr.chm
• %Windows%\Help\nwdoc.chm
• %Windows%\Help\nwdoc.hlp
• %Windows%\Help\objsel.hlp
• %Windows%\Help\odbcinst.chm
• %Windows%\Help\odbcjet.chm
• %Windows%\Help\oe_msgr.chm
• %Windows%\Help\offlinefolders.chm
• %Windows%\Help\omc.chm
• %Windows%\Help\osk.chm
• %Windows%\Help\osk.hlp
• %Windows%\Help\packager.chm
• %Windows%\Help\password.chm
• %Windows%\Help\phowto.chm
• %Windows%\Help\pinball.chm
• %Windows%\Help\pinball.hlp
• %Windows%\Help\plyr_err.chm
• %Windows%\Help\printfnd.chm
• %Windows%\Help\printing.chm
• %Windows%\Help\progman.cnt
• %Windows%\Help\progman.hlp
• %Windows%\Help\pwrmn.chm
• %Windows%\Help\pwrmn.hlp
• %Windows%\Help\qosconcepts.chm
• %Windows%\Help\ratings.chm
• %Windows%\Help\ratings.cnt
• %Windows%\Help\ratings.hlp
• %Windows%\Help\rdesktop.chm
• %Windows%\Help\reader.chm
• %Windows%\Help\reader.hlp
• %Windows%\Help\recycle.chm
• %Windows%\Help\regedit.chm
• %Windows%\Help\regedit.hlp
• %Windows%\Help\regopt.chm
• %Windows%\Help\remasst.chm
• %Windows%\Help\reskit.chm
• %Windows%\Help\rktools.chm
• %Windows%\Help\rrc.chm
• %Windows%\Help\rsm.chm
• %Windows%\Help\rsm.hlp
• %Windows%\Help\rsmconcepts.chm
• %Windows%\Help\rsop.chm
• %Windows%\Help\rsopsnp.chm
• %Windows%\Help\rvse.chm
• %Windows%\Help\safer.chm
• %Windows%\Help\saferconcepts.chm
• %Windows%\Help\sapicpl.hlp
• %Windows%\Help\sc.chm
• %Windows%\Help\scarddlg.hlp
• %Windows%\Help\sce.chm
• %Windows%\Help\sceconcepts.chm
• %Windows%\Help\scm.chm
• %Windows%\Help\scmconcepts.chm
• %Windows%\Help\secauth.hlp
• %Windows%\Help\secedit.chm
• %Windows%\Help\secsetconcepts.chm
• %Windows%\Help\secsettings.chm
• %Windows%\Help\sendcmsg.chm
• %Windows%\Help\sendcmsg.hlp
• %Windows%\Help\sfmmgr.hlp
• %Windows%\Help\shell.hlp
• %Windows%\Help\shvl.chm
• %Windows%\Help\signin.hlp
• %Windows%\Help\sigverif.hlp
• %Windows%\Help\smlogcfg.chm
• %Windows%\Help\sndvol32.chm
• %Windows%\Help\sndvol32.hlp
• %Windows%\Help\sniffpol.dll
• %Windows%\Help\snmpconcepts.chm
• %Windows%\Help\snmpsnap.hlp
• %Windows%\Help\sol.chm
• %Windows%\Help\sol.hlp
• %Windows%\Help\soundrec.chm
• %Windows%\Help\soundrec.hlp
• %Windows%\Help\sounds.chm
• %Windows%\Help\spad.chm
• %Windows%\Help\spconcepts.chm
• %Windows%\Help\speech.chm
• %Windows%\Help\spider.chm
• %Windows%\Help\spider.hlp
• %Windows%\Help\splash.chm
• %Windows%\Help\spolsconcepts.chm
• %Windows%\Help\sr_ui.chm
• %Windows%\Help\sstub.dll
• %Windows%\Help\supp_ed.chm
• %Windows%\Help\suptools.chm
• %Windows%\Help\sysdm.chm
• %Windows%\Help\sysdm.hlp
• %Windows%\Help\sysmon.chm
• %Windows%\Help\sysmon.hlp
• %Windows%\Help\sysprop.chm
• %Windows%\Help\sysrestore.chm
• %Windows%\Help\sysrestore.hlp
• %Windows%\Help\system.chm
• %Windows%\Help\sys_srv.chm
• %Windows%\Help\tapi.chm
• %Windows%\Help\tapi.hlp
• %Windows%\Help\taskbar.chm
• %Windows%\Help\taskmgr.chm
• %Windows%\Help\taskmgr.hlp
• %Windows%\Help\tcpip.chm
• %Windows%\Help\tcpmon.hlp
• %Windows%\Help\telnet.chm
• %Windows%\Help\telnet.hlp
• %Windows%\Help\timesrv.chm
• %Windows%\Help\tshoot.chm
• %Windows%\Help\tshoot.dll
• %Windows%\Help\twclient.chm
• %Windows%\Help\twclient.hlp
• %Windows%\Help\update.cnt
• %Windows%\Help\update1.chm
• %Windows%\Help\usercpl.chm
• %Windows%\Help\users.hlp
• %Windows%\Help\utilmgr.chm
• %Windows%\Help\utilmgr.hlp
• %Windows%\Help\verifier.hlp
• %Windows%\Help\wab.chm
• %Windows%\Help\wab.hlp
• %Windows%\Help\wbemtest.chm
• %Windows%\Help\webpub.chm
• %Windows%\Help\whatsnew.chm
• %Windows%\Help\winchat.chm
• %Windows%\Help\winchat.hlp
• %Windows%\Help\windows.chm
• %Windows%\Help\windows.chq
• %Windows%\Help\windows.cnt
• %Windows%\Help\windows.hlp
• %Windows%\Help\winhlp32.cnt
• %Windows%\Help\winhlp32.hlp
• %Windows%\Help\wininstl.chm
• %Windows%\Help\winmine.chm
• %Windows%\Help\winmine.hlp
• %Windows%\Help\win_dos.chm
• %Windows%\Help\wmic.chm
• %Windows%\Help\wmifltr.chm
• %Windows%\Help\wmplay.chm
• %Windows%\Help\wmplayer.chm
• %Windows%\Help\wordpad.chm
• %Windows%\Help\wordpad.hlp
• %Windows%\Help\wpa.chm
• %Windows%\Help\wschelp.chm
• %Windows%\Help\wscript.chm
• %Windows%\Help\wscript.hlp
• %Windows%\Help\wsecedit.hlp
• %Windows%\Help\wshconcepts.chm
• %Windows%\Help\wuau.chm
• %Windows%\Help\wuauhelp.chm

(註：%Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)

ワームは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Active Setup\Installed Components\{H8I22RB03-AB-B70-7-11d2-9CBD-0O00FS7AH6-9E2121BHJLK}
(Default) = "fuckme"

HKEY_CURRENT_USER\Software\Microsoft\
Telnet

ワームは、以下のレジストリキーを削除します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Script Host\Settings
DisplayLogo = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Script Host\Settings
ActiveDebugging = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Script Host\Settings
SilentTerminate = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Script Host\Settings
UseWINSAFER = "1"

感染活動

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[AutoRun]
open=recycle.{645FF040-5081-101B-9F08-00AA002F954E}\ini.exe
shell\open={garbage characters}
shell\open\Command=recycle.{645FF040-5081-101B-9F08-00AA002F954E}\ini.exe
shell\open\Default=1
shell\explore={garbage characters}
shell\explore\Command=recycle.{645FF040-5081-101B-9F08-00AA002F954E}\ini.exe

ダウンロード活動

ワームは、以下の不正Webサイトにアクセスします。

• http://{BLOCKED}.{BLOCKED}.0.1/get.asp?mac=QJYrEkygRU&ver=1.5
• http://{BLOCKED}.{BLOCKED}.205.22:8888/down.txt
• http://{BLOCKED}.{BLOCKED}.205.22:8888/zxc.exe
• http://{BLOCKED}s.cn/wm/chajian.exe

HOSTSファイルの改変

ワームは、WindowsのHOSTSファイルに以下の文字列を追加します。

• 127.0.0.0 360.qihoo.com
• 127.0.0.1 bbs.sucop.com
• 127.0.0.1 dl.jiangmin.com
• 127.0.0.1 jiangmin.com
• 127.0.0.1 kaspersky.com.cn
• 127.0.0.1 qihoo.com
• 127.0.0.1 rising.com.cn
• 127.0.0.1 tool.ikaka.com
• 127.0.0.1 virustotal.com
• 127.0.0.1 www.360safe.com
• 127.0.0.1 www.chinakv.com
• 127.0.0.1 www.dswlab.com
• 127.0.0.1 www.eset.com.cn
• 127.0.0.1 www.jiangmin.com
• 127.0.0.1 www.kaspersky.com
• 127.0.0.1 www.kaspersky.com.cn
• 127.0.0.1 www.lanniao.org
• 127.0.0.1 www.nod32.com
• 127.0.0.1 www.nod32club.com
• 127.0.0.1 www.qihoo.com
• 127.0.0.1 www.rising.com.cn
• 127.0.0.1 www.virustotal.com
• {BLOCKED].{BLOCKED}.37.99 union.kingsoft.com

その他

ワームは、以下の不正なWebサイトにアクセスします。

• {BLOCKED}.{BLOCKED}.2.15:4444

ワーム は、自身（コンピュータに侵入して最初に自身のコピーを作成した ワーム ）を削除します。