WORM_ROTINOM.SME

ワームは、感染リムーバブルドライブを接続することにより、コンピュータに侵入します。 ワームは、他のマルウェアのパッケージとともにコンポーネントとしてコンピュータに侵入します。 ワームは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

ワームは、既定のWindowsフォルダのアイコンを用いて、ユーザにファイルを開くよう促します。ユーザがファイルをダブルクリックすることで、このは実行されます。

ワームは、レジストリ値を変更し、システムファイルおよび読み取り専用属性のファイルを非表示にします。

ワームは、リムーバブルドライブ内に自身のコピーを作成します。作成されたコピーのファイル名として、上記のドライブ上に存在するフォルダ名を使用します。

侵入方法

ワームは、感染リムーバブルドライブを接続することにより、コンピュータに侵入します。

ワームは、他のマルウェアのパッケージとともにコンポーネントとしてコンピュータに侵入します。

ワームは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

ワームは、以下のフォルダを追加します。

• %AppDataLocal%\start
• %AppDataLocal%\S-1-5-31-1286970278978-5713669491-166975984-320\tlsr
• %AppDataLocal%\S-1-5-31-1286970278978-5713669491-166975984-320\Rotinom
• %AppDataLocal%\S-1-5-31-1286970278978-5713669491-166975984-320\dmc
• %AppDataLocal%\S-1-5-31-1286970278978-5713669491-166975984-320
• {Malware Path}\{Malware File Name}

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %AppDataLocal%\start\update.exe

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

ワームは、既定のWindowsフォルダのアイコンを用いて、ユーザにファイルを開くよう促します。ユーザがファイルをダブルクリックすることで、このは実行されます。

他のシステム変更

ワームは、インストールの過程で以下のレジストリキーまたはレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Shell Folders
Startup = "%AppDataLocal%\start"

(註：変更前の上記レジストリ値は、「"%User Profile%\Start Menu\Programs\Startup"」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
User Shell Folders
Startup = "%AppDataLocal%\start"

(註：変更前の上記レジストリ値は、「"%User Profile%\Start Menu\Programs\Startup"」となります。)

ワームは、以下のレジストリ値を変更し、システムファイルおよび読み取り専用属性のファイルを非表示にします。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = 2

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
HideFileExt = 1

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = 0

(註：変更前の上記レジストリ値は、「1」となります。)

感染活動

ワームは、リムーバブルドライブ内に自身のコピーを作成します。作成されたコピーのファイル名として、上記のドライブ上に存在するフォルダ名を使用します。

ワームは、ユーザを欺き自身の実行を隠ぺいするために以下のフォルダを作成、実行します。

• {Malware Path}\{Malware Filename}

ワームは、以下の作成したフォルダにリムーバブルドライブの内容をコピーします。

• %AppDataLocal%\S-1-5-31-1286970278978-5713669491-166975984-320\Rotinom

ワームは、ルートキット機能を備えていません。

ワームは、脆弱性を利用した感染活動を行いません。