WORM_ZLADER.B

ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、Internet Explorer（IE）のゾーン設定を変更します。

ワームは、特定のWebサイトにアクセスし、情報を送受信します。 ワームは、実行後、自身を削除します。

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、以下のファイルを作成します。

• %Application Data%\cabfile.cab
• {Removable Drive Letter}:\{Shortcut files with the filename of every folder in the removable drive}
  • The malware creates these shortcut files in order to trick the user due to its folder icon and legit filenames.
  • The target path of these shortcuts is set to: %System%\cmd.exe /C ""$RECYCLE.BIN.{GUID}\{GUID}.cmd" && explorer "{GUID folder name - where the original files are stored}""

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

ワームは、以下の無害なファイルを作成します。

• %Application Data%\dpx.dll -> serves as a component file used by the malware

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

ワームは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• explorer.exe

感染活動

ワームは、すべてのリムーバブルドライブ内に以下のフォルダを作成します。

• {Removable Drive Letter}:\$RECYCLE.BIN.{GUID} -> set attributes to Hidden

ワームは、以下のドライブ内に自身のコピーを作成します。

• {Removable Drive Letter}:\$RECYCLE.BIN.{GUID}\{GUID}.{src/pif/cmd} -> Set attribute to Hidden and would look like a shortcut file.

Webブラウザのホームページおよび検索ページの変更

ワームは、IEのゾーン設定を変更します。

その他

ワームは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}ndidnted.com/h/gate.php

ワームは、実行後、自身を削除します。