WORM_RIMECUD.CP

ワームは、感染リムーバブルドライブを接続することにより、コンピュータに侵入します。 ワームは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。 ワームは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

侵入方法

ワームは、感染リムーバブルドライブを接続することにより、コンピュータに侵入します。

ワームは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

ワームは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Profile%\{random characters}.exe

(註：%User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。)

ワームは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• svchost.exe

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Taskman = "%User Profile%\{random characters}.exe"

感染活動

ワームは、すべてのリムーバブルドライブ内に以下のフォルダを作成します。

• {drive letter}:\crnizec

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {drive letter}:\crnizec\webnovac.exe

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[AutoRun]
USEAUTOPLAY=1
shellexcute=crnizec/webnovac.exe
Shellgori
shell\Explore\command=crnizec/webnovac.exe
shell\Open\command=crnizec/webnovac.exe
icon=crnizec/webnovac.exe
open=crnizec/webnovac.exe
action=Open folder to view files using Windows Explorer

アドウェア活動

ワームは、以下のWebサイトにアクセスして感染コンピュータ上に広告を表示します。

• http://www.{BLOCKED}lhints.com/index.php/
• http://www.{BLOCKED}lhints.com/index.php/cancer
• http://www.{BLOCKED}lhints.com/index.php/dental
• http://www.{BLOCKED}lhints.com/index.php/disabilities
• http://www.{BLOCKED}lhints.com/index.php/diseases
• http://www.{BLOCKED}lhints.com/index.php/hearing
• http://www.{BLOCKED}lhints.com/index.php/medicine
• http://www.{BLOCKED}lhints.com/index.php/nutrition
• http://www.{BLOCKED}lhints.com/index.php/sleep
• http://www.{BLOCKED}lhints.com/index.php/vision
• http://www.{BLOCKED}lhints.com index.php/hearing