WORM_OTORUN.KR
Backdoor.Tidserv (Symantec), Generic BackDoor.rz (McAfee), W32/Rorpian-Q (Sophos), Riskware/Generic (Fortinet), Trojan.Win32.Pincav (Ikarus)
Windows 2000, Windows XP, Windows Server 2003
![](/vinfo/imgFiles/JPlegend.jpg)
マルウェアタイプ:
ワーム
破壊活動の有無:
なし
暗号化:
はい
感染報告の有無 :
はい
概要
ワームは、感染リムーバブルドライブを接続することにより、コンピュータに侵入します。 ワームは、感染ネットワーク共有フォルダを介して、コンピュータに侵入します。 ワームは、他のマルウェアに作成され、コンピュータに侵入します。
ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。 ワームは、ソフトウェアに存在する脆弱性を利用して、同じネットワーク上にある他のコンピュータへの感染活動をします。
ワームは、ダウンロードしたファイルを実行します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。
詳細
侵入方法
ワームは、感染リムーバブルドライブを接続することにより、コンピュータに侵入します。
ワームは、感染ネットワーク共有フォルダを介して、コンピュータに侵入します。
ワームは、他のマルウェアに作成され、コンピュータに侵入します。
インストール
ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。
- %User Temp%\srv{3 random hexadecimal digits}.tmp
(註:%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\<ユーザー名>\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\<ユーザー名>\Local Settings\TEMP" です。)
ワームは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。
- spoolsv.exe
自動実行方法
ワームは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random hexadecimal number}
Type = "20"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random hexadecimal number}
Start = "1"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random hexadecimal number}
ErrorControl = "1"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random hexadecimal number}
ImagePath = "%System Root%\system32\svchost.exe -k netsvcs"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random hexadecimal number}
DisplayName = "srv{3 random hexadecimal digits}"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random hexadecimal number}
ObjectName = "LocalSystem"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random hexadecimal number}\parameters
servicedll = "\?\globalroot\Device\HarddiskVolume1\%User Temp%\srv{random hexadecimal number}.exe"
ワームは、以下のレジストリキーを追加し、セーフモード状態でも自身が実行されるようにします。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Minimal\
srv{random hexadecimal number}
ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\SvcHost
netsvcs = "srv{random hexadecimal number} {original value}"
(註:変更前の上記レジストリ値は、「"{original value}"」となります。)
ワームは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random hexadecimal number}
他のシステム変更
ワームは、以下のレジストリ値を作成し、Windowsのファイアウォールを回避します。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
67:UDP = "67:UDP:*:Enabled:DHCP Server"
感染活動
ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。
- setup1911.fon
ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。
上記INFファイルには、以下の文字列が含まれています。
{garbage characters}
[AUtOrUn]
acTION=OpEn
{garbage characters}
icoN=%wIndir%\SysTeM32\SHELL32.DLl,4
{garbage characters}
uSEAuToPLAy=1
{garbage characters}
OpEN=RUnDLL32.EXE seTUp1911.fon,348976
{garbage characters}
sheLL\EXPlore\coMmAnd=rUNDlL32.exe sEtup1911.fON,348976
{garbage characters}
SHELL\opEn\CoMMAND=rundLl32.eXE setup1911.FoN,348976
{garbage characters}
ワームは、以下のソフトウェアに存在する脆弱性を利用して、ネットワーク上で感染活動をします。
- (MS08-067) Vulnerability in Server Service Could Allow Remote Code Execution (958644)
ダウンロード活動
ワームは、以下のWebサイトにアクセスし、ファイルをダウンロードします。
- http://{BLOCKED}.{BLOCKED}.89.121/X
- http://{BLOCKED}.{BLOCKED}.89.121/exe
ワームは、以下のファイル名でダウンロードしたファイルを保存します。
- %Temp%\{random hexadecimal number}.tmp
(註:%Temp%は、<Windows Temporary フォルダ>のことで、標準設定では "C:\WINNT\Temp" または "C:\Windows\Temp" です。)
ワームは、ダウンロードしたファイルを実行します。
ただし、情報公開日現在、このWebサイトにはアクセスできません。
ワームは、不正リモートユーザに自身のインストールを通知するために以下のWebサイトにアクセスします。
- http://{BLOCKED}.{BLOCKED}.89.121/slog&log=install&id={random string}&os={OS version}&version=1d&data=
ワームは、すべてのリムーバブルドライブおよび共有フォルダに以下のようなショートカットファイル(拡張子LNK)を作成します。ユーザがこれらのショートカットファイルを実行すると、作成された自身のコピー "setup1911.fon" が自動実行されます。
- myporno.avi.lnk
- pornmovs.lnk
- setup1911.lnk
トレンドマイクロの製品では、作成されたこれらのショートカットファイルを「LNK_OTORUN.SM」または「EXPL_CPLNK.SM」として検出します。どちらの検出名になるかは、作成されたショートカットファイルにより自動実行される自身のコピーが、どこに保存されているによって異なります。感染したコンピュータ内に自身のコピーが存在する場合、それを自動実行させるショートカットファイルは「LNK_OTORUN.SM」として検出されます。共有フォルダ内を介して別のコンピュータ内に自身のコピーが存在する場合は、「EXPL_CPLNK.SM」として検出されます。
ワームは、侵入したコンピュータ上のすべての共有フォルダを検索し、確認したフォルダ内に以下のように自身のコピーを作成します。
- setup1911.fon
対応方法
手順 1
Windows XP および Windows Server 2003 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 3
スタートアップディスク、または、回復コンソールを用いて、「WORM_OTORUN.KR」として検出されたファイルを確認し削除します。
手順 4
このレジストリ値を削除します。
警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List
- 67:UDP="67:UDP:*:Enabled:DHCP Server"
- 67:UDP="67:UDP:*:Enabled:DHCP Server"
手順 5
このレジストリキーを削除します。
警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal
- srv{random hexadecimal number}
- srv{random hexadecimal number}
- In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
- srv{random hexadecimal number}
- srv{random hexadecimal number}
手順 6
変更されたレジストリ値を修正します。
警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost
- From: netsvcs="srv{random hexadecimal number} {original value}"
To: netsvcs="{original value}"
- From: netsvcs="srv{random hexadecimal number} {original value}"
手順 7
「WORM_OTORUN.KR」が作成した AUTORUN.INF を検索し削除します。このファイルには、以下の文字列が含まれています。
手順 8
最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「WORM_OTORUN.KR」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
手順 9
以下の修正パッチをダウンロードし適用します。この脆弱性に対する修正パッチを適用するまで、該当製品の使用をお控えください。この製品の製造元が公開する正式な修正パッチをダウンロードし適用することをお勧めします。 Microsoft Security Bulletin MS08-067 (958644)
日本語情報はこちらです。
ご利用はいかがでしたか? アンケートにご協力ください