WORM_RIMECUD.AA

 危険度:

 ダメージ度:

 感染力:

 感染確認数:

• マルウェアタイプ: ワーム
• 破壊活動の有無: なし
• 暗号化: なし
• 感染報告の有無: はい

  概要

ワームは、すべてのリムーバブルドライブ内に自身のコンポーネントファイルを作成します。作成された "AUTORUN.INF" マルウェアは、トレンドマイクロの製品では、「Mal_Otorun1」として検出されます。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

  詳細

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System Root%\RECYCLER\S-1-5-21-6366383742-6125457035-156930196-8614\winmap.exe

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

ワームは、以下のファイルを作成します。

• %System Root%\RECYCLER\S-1-5-21-6366383742-6125457035-156930196-8614\Desktop.ini
• %drive letter%\RECYCLER\Desktop.ini

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

ワームは、以下のフォルダを作成します。

• %System Root%\RECYCLER\S-1-5-21-6366383742-6125457035-156930196-8614

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Taskman = "%System Root%\RECYCLER\S-1-5-21-6366383742-6125457035-156930196-8614\winmap.exe"

感染活動

ワームは、すべてのリムーバブルドライブ内に以下のフォルダを作成します。

• RECYCLER

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• RECYCLER\autorun.exe

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[autorun]
open=RECYCLER\autorun.exe
icon=%SystemRoot%\system32\SHELL32.dll,4
action=Open folder to view files
shell\open=Open
shell\open\command=RECYCLER\autorun.exe
shell\open\default=1

ワームは、すべてのリムーバブルドライブ内に自身のコンポーネントファイルを作成します。作成された "AUTORUN.INF" は、トレンドマイクロの製品では、「Mal_Otorun1」として検出されます。

  対応方法

手順 6

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「WORM_RIMECUD.AA」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。