WORM_OTORUN.DCQ

ワーム活動：フラッシュドライブの利用

ワームは、感染リムーバブルドライブを接続することにより、コンピュータに侵入します。 ワームは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

ワームは、自身のコピーがWindows起動時に自動実行されるようレジストリ値を追加します。

ワームは、すべてのリムーバブルドライブ内に自身のコピーを作成します。

ワームは、IRCサーバに接続します。

侵入方法

ワームは、感染リムーバブルドライブを接続することにより、コンピュータに侵入します。

ワームは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

ワームは、以下のファイルを作成します。

• %System Root%\RESTORE\S-1-5-21-1482476501-1644491937-682003330-1013\Desktop.ini

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System Root%\RESTORE\S-1-5-21-1482476501-1644491937-682003330-1013\lin32.exe

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

ワームは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• EXPLORER.EXE

ワームは、以下のフォルダを作成します。

• %System Root%\RESTORE
• %System Root%\RESTORE\S-1-5-21-1482476501-1644491937-682003330-1013

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Active Setup\Installed Components\{28ABC5C0-4FCB-11CF-AAX5-81CX1C635612}
StubPath = "%System Root%\RESTORE\S-1-5-21-1482476501-1644491937-682003330-1013\lin32.exe"

感染活動

ワームは、すべてのリムーバブルドライブ内に自身のコピーを作成します。

ワームは、既存の AUTORUN.INF に以下の文字列を追加して、このINFファイルの内容を変更します。これにより、作成した自身のコピーが自動実行されます。

• [autorun]
  open=RESTORE\S-1-5-21-1482476501-1644491937-682003330-1013\lin32.exe
  icon=%SystemRoot%\system32\SHELL32.dll,4
  action=Open folder to view files
  shell\open=Open
  shell\open\command=RESTORE\S-1-5-21-1482476501-1644491937-682003330-1013\lin32.exe
  shell\open\default=1

バックドア活動

以下のいずれかのIRC（Internet Relay Chat）サーバに接続します。

• {BLOCKED].{BLOCKED}.174.5