WORM_RIMECUD.L

マルウェアは、リムーバブルドライブを介してコンピュータに侵入します。

マルウェアは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

マルウェアは、作成したファイルを実行します。

侵入方法

マルウェアは、リムーバブルドライブを介してコンピュータに侵入します。

感染活動

マルウェアは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {drive letter}:\ODUZIMAS\midah.exe

マルウェアは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

{random characters}
[autorun]
shell\Install\command=ODUZIMAS\midah.exe
shell\open\command=ODUZIMAS\midah.exe
shell\explore\command=ODUZIMAS\midah.exe
Shell\open\command=ODUZIMAS\midah.exe
useautoplay=1
shellexecute=ODUZIMAS\midah.exe
open=ODUZIMAS\midah.exe
action=Open folder to view files
icon=shell32.dll,4

作成活動

マルウェアは、以下のファイルを作成します。

• %Application Data%\nsvb.exe - detected as WORM_RIMECUD.MB

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 ""C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"" 、 Windows NTの場合 ""C:\WINNT\Profiles\＜ユーザ名＞\Application Data""、Windows 98 および MEの場合、""C:\Windows\Profiles\＜ユーザ名＞\Application Data"" です。)

マルウェアは、作成したファイルを実行します。