WORM_DORKBOT.AZI

ワームは、感染リムーバブルドライブを接続することにより、コンピュータに侵入します。 ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成され、コンピュータに侵入します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ワームは、特定の文字列を含むセキュリティ対策関連Webサイトが閲覧できないようにします。 ワーム マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した ワーム ）を削除します。

侵入方法

ワームは、感染リムーバブルドライブを接続することにより、コンピュータに侵入します。

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、他のマルウェアに作成され、コンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System Root%\Documents and Settings\Administrator\Application Data\{random characters}.exe

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

ワームは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• FvLQ49IlzIyLjj6m
• e621ca05-Mutex

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{malware file name} = %System Root%\Documents and Settings\Administrator\Application Data\{malware file name}.exe

感染活動

ワームは、すべてのリムーバブルドライブ内に以下のフォルダを作成します。

• {drive letter}:\RECYCLER

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {drive letter}:\RECYCLER\{random characters}.exe

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[AutoRun]
;{garbage characters}
shellexecute=RECYCLER\{malware file name}.exe
;{garbage characters}
icon=shell32.dll,7
;{garbage characters}
shell\open\command=RECYCLER\{malware file name}.exe
;{garbage characters}
action=Open folder to view files
;{garbage characters}
shell\explore\command=RECYCLER\{malware file name}.exe
;{garbage characters}
useautoplay=1

ワームは、以下のインスタントメッセンジャ（IM）を用いて、メッセージを送信します。このメッセージにはリンクが含まれており、リンク先のリモートサイトには、自身のコピーが組み込まれています。

• Pidgin
• Windows Live Communicator
• MSN Messenger
• mIRC

バックドア活動

ワームは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}ot-servers.org

その他

ワームは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://api.wipmania.com/

ワームは、以下の文字列を含むセキュリティ対策関連Webサイトが閲覧できないようにします。

• avast.
• avira.
• bitdefender.
• bullguard.
• clamav.
• comodo.
• emsisoft.
• eset.
• f-secure.
• fortinet.
• garyshood.
• gdatasoftware.
• heck.tc
• iseclab.
• jotti.
• kaspersky.
• lavasoft.
• malwarebytes.
• mcafee.
• norman.
• norton.
• novirusthanks.
• onecare.live.
• onlinemalwarescanner.
• pandasecurity.
• precisesecurity.
• sophos.
• sunbeltsoftware.
• symantec
• threatexpert.
• trendmicro.
• virscan.
• virus.
• virusbuster.nprotect.
• viruschief.
• virustotal.
• webroot.

ワーム は、自身（コンピュータに侵入して最初に自身のコピーを作成した ワーム ）を削除します。