WORM_DROPPER.AKO

ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、特定のプロセスに作成したファイルを組み込みます。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Windows%\Downloaded Program Files\USBKey.exe

(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。)

ワームは、以下のファイルを作成します。

• {drive letter}:\RECYCLER\Desktop.ini - used to trick the users that the created folder is a legitimate Recycle Bin directory
• %User Temp%\j7hgf.bat - batch file used to delete the initiailly executed copy of the malware. This will also be deleted once the execution is done.
• %System%\MsnShell32.dll - also detected as WORM_DROPPER.AKO

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。. %System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

ワームは、以下のファイルを作成し実行します。

• %User Temp%\ushi32.exe - TROJ_DLOADR.AKT

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

ワームは、以下のプロセスに作成したファイルを組み込みます。

• Explorer.exe

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CLASSES_ROOT\CLSID\{35CEC8A3-2BE6-11D2-8773-92E220524250}
(default) = "MsnShell32"

HKEY_CLASSES_ROOT\CLSID\{35CEC8A3-2BE6-11D2-8773-92E220524250}\
InprocServer32
(default) = "%System%\MsnShell32.dll"

HKEY_CLASSES_ROOT\CLSID\{35CEC8A3-2BE6-11D2-8773-92E220524250}\
InprocServer32
ThreadingModel = "Both"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\ShellServiceObjectDelayLoad
MsnShell32 = "{35CEC8A3-2BE6-11D2-8773-92E220524250}"

他のシステム変更

ワームは、以下のレジストリキーを追加します。

HKEY_CLASSES_ROOT\CLSID\{35CEC8A3-2BE6-11D2-8773-92E220524250}

感染活動

ワームは、すべてのリムーバブルドライブ内に以下のフォルダを作成します。

• {drive letter}:\RECYCLER

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {drive letter}:\RECYCLER\MsnHelp.exe

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[AutoRun]
shell\open=¦=+¬(&O)
shell\open\Command=RECYCLER\MsnHelp.exe
shell\open\Default=1
shell\explore=+-+¦¦_+f¦˜(&X)
shell\explore\command=RECYCLER\MsnHelp.exe
opEn=

プロセスの終了

ワームは、感染コンピュータ上で確認した以下のサービスを終了します。

• pccguide.exe