• Email
• Facebook
• Twitter
• Google+
• Linkedin

WORM_AUTORUN.MKB

---

• マルウェアタイプ: ワーム
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

---

  概要

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、レジストリ値を変更し、システムファイルおよび読み取り専用属性のファイルを非表示にします。

ワームは、感染コンピュータに接続しているすべてのリムーバブルドライブ内に自身のコピーを作成します。 ワームは、リムーバブルドライブ内に自身のコピーを作成します。作成されたコピーのファイル名として、上記のドライブ上に存在するフォルダ名を使用します。 ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

---

  詳細

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Profile%\winxp1\winlogon.exe

(註：%User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。)

ワームは、以下のフォルダを作成します。

• %User Profile%\winxp1

(註：%User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。)

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
NVIDIA Media Center Library = %User Profile%\winxp1\winlogon.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
NVIDIA Media Center Library = %User Profile%\winxp1\winlogon.exe

ワームは、以下のファイルを作成します。

• %User Profile%\winxp1\VERSION.TXT

(註：%User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。)

他のシステム変更

ワームは、インストールの過程で以下のレジストリキーまたはレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Local Page = http://9-y-0-f-n-w-c-m-d-y-g-c-4-e-o-9-4-x-.i-k-r-g-1-0-u-5-1-f-3-g-li-9-p-1-x-t-6-g-l-8-m-q-y-s-k-6-l.info

(註：変更前の上記レジストリ値は、「about:blank」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Start Page = http://p-e-7-j-7-b-t-1-g-w-9-3-3-.a-l-v-d-z-o0-n-x-6-v-0-q-q-m-7-g-d-z-7-7-o-b-m-7-z-4-a-q-0.info

(註：変更前の上記レジストリ値は、「about:blank」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Search Page = http://g-q-4-v-h-6-k-y-x-5-0-9-l-2-e-v-5-.i-k-r-g-1-0-u-5-1-f-3-g-li-9-p-1-x-t-6-g-l-8-m-q-y-s-k-6-l.info

(註：変更前の上記レジストリ値は、「about:blank」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Main
Default_Page_URL = http://6-p-4-l-y-f-v-1-9-g-3-l-8-3-t-z-7-7-i-8-s-a-e-b-5-.u-l-c-6-e-p-a-a-0-z-m-s-m-00-v-2-i-7-5-f-l-7-7-l-t-j-h-h-9.info

(註：変更前の上記レジストリ値は、「about:blank」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Main
Default_Search_URL = http://7-6-9-l-u-f-9-3-4-g-i-w-5-9-c-3-u-r-5-8-q-.a-l-v-d-z-o0-n-x-6-v-0-q-q-m-7-g-d-z-7-7-o-b-m-7-z-4-a-q-0.info

(註：変更前の上記レジストリ値は、「about:blank」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Main
Search Page = http://n-d-2-3-9-b-6-9-s-v-z-9-6-c-u-n-z-.i-k-r-g-1-0-u-5-1-f-3-g-li-9-p-1-x-t-6-g-l-8-m-q-y-s-k-6-l.info

(註：変更前の上記レジストリ値は、「about:blank」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Main
Local Page = http://4-1-z-d-1-v-q-g-u-4-9-u-5-o-h-8-u-k-a-k-k-5-y-e-s-2-5-7-.a-l-v-d-z-o0-n-x-6-v-0-q-q-m-7-g-d-z-7-7-o-b-m-7-z-4-a-q-0.info

(註：変更前の上記レジストリ値は、「hex(2):25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,32,5c,62,6c,61,6e,6b,2e,68,74,6d,00, 」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Main
Start Page = http://w-8-5-f-r-8-0-2-p-x-2-6-7-p-f-n-n-9-2-o-9-9-8-.j-z-0-3-0-u-u-x-f-1l-3-l-h-w-b-q-z-u-5-n-l-l-m-s-5-v-s-z-g.info

(註：変更前の上記レジストリ値は、「about:blank」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\SystemRestore
DisableSR = 1

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\sr
Start = 4

(註：変更前の上記レジストリ値は、「0」となります。)

ワームは、インストールの過程で以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
Windows\CurrentControlSet
IP = 120.89.55.3

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Default_Search_URL = http://3-7-7-i-0-6-n-8-6-5-0-d-5-q-e-m-m-9-6-4-9-c-v-0-w-3-.i-k-r-g-1-0-u-5-1-f-3-g-li-9-p-1-x-t-6-g-l-8-m-q-y-s-k-6-l.info

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Default_Page_URL = http://o-g-5-8-9-u-s-6-1-9-l-j-a-7-7-1-2-.j-z-0-3-0-u-u-x-f-1l-3-l-h-w-b-q-z-u-5-n-l-l-m-s-5-v-s-z-g.info

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
system
EnableLUA = 0

ワームは、以下のレジストリ値を変更し、システムファイルおよび読み取り専用属性のファイルを非表示にします。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = 2

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
HideFileExt = 3

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = 0

(註：変更前の上記レジストリ値は、「1」となります。)

感染活動

ワームは、感染コンピュータに接続しているすべてのリムーバブルドライブ内に自身のコピーを作成します。

ワームは、リムーバブルドライブ内に自身のコピーを作成します。作成されたコピーのファイル名として、上記のドライブ上に存在するフォルダ名を使用します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[autorun]
open={random name}\S-4-7-01-4639107401-44944991267-104113574-7046\{random name}.exe
icon=%SystemRoot%\system32\SHELL32.dll,4
action=Abir la carpeta para ver los archivos
shell\open=Open
shell\open\command={random name}\S-4-7-01-4639107401-44944991267-104113574-7046\{random name}.exe
shell\open\default=1
shell\open\defauilt=1

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください