WORM_DORKBOT.RJG

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\ScreenSaverPro.scr
• %Application Data%\temp.bin

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

ワームは、以下のファイルを作成します。

• {Drive Letter}:\.Trashes.lnk
• {Drive Letter}:\{folder name}.lnk - if the removable drive contains folders
• {Drive Letter}:\{file name}.lnk - if the removable drive contains files
• %Application Data%\D.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Screen Saver Pro 3.1 = "%Application Data%\ScreenSaverPro.scr"

感染活動

ワームは、すべてのリムーバブルドライブ内に以下のフォルダを作成します。

• {Drive Letter}:\.Trashes

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {Drive Letter}:\{random}.exe

その他

ワームは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}i.{BLOCKED}ia.com
• http://{BLOCKED}a.ca/av.txt
• http://{BLOCKED}s.com/nmc.exe

ワームは、リムーバブルドライブ内の自身のコピーに誘導するショートカットファイル（拡張子LNK）も作成します。なお、作成したショートカットファイル名には、リムーバブルドライブ内に存在するファイル名／フォルダ名を使用します。そして、名称を借用した実際のファイル／フォルダの方は、属性を「隠しファイル」に設定し、作成したショートカットファイルをクリックさせようとします。

リムーバブルドライブがフォルダを含んでいる場合、ワームは、以下のファイルを作成します。

• {Drive Letter}:\{folder name}.lnk

リムーバブルドライブがファイルを含んでいる場合、ワームは、以下のファイルを作成します。

• {Drive Letter}:\{file name}.lnk