WORM_RIMECUD.VG

2012年10月9日

更新者 : Michael Cabel

別名:

VirTool:Win32/CeeInject.gen!AT (Microsoft); W32/Rimecud.bfr!a (McAfee); W32.Pilleuz (Symantec); Trojan.Win32.Buzus.ckem (Kaspersky); Net-Worm.Win32.Kolab.ehp (v) (Sunbelt); Trojan.Generic.2615726 (FSecure)

プラットフォーム:

Windows 2000, Windows XP, Windows Server 2003

危険度:

ダメージ度:

感染力:

感染確認数:

マルウェアタイプ: ワーム
破壊活動の有無: なし
暗号化: なし
感染報告の有無: はい

概要

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、すべての物理ドライブおよびリムーバブルドライブ内にフォルダを作成します。ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

詳細

ファイルサイズ 159,744 bytes

メモリ常駐はい

発見日 2011年12月26日

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

%System Root%\RECYCLER\{Random SID}\mwau.exe

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

ワームは、以下のフォルダを作成します。

%System Root%\RECYCLER\{Random SID}

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Taskman = "%System Root%\RECYCLER\{Random SID}\mwau.exe"

感染活動

ワームは、すべての物理ドライブおよびリムーバブルドライブ内に以下のフォルダを作成します。

{drive letter}:\Empty

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

{drive letter}:\Empty\autorun.exe

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

;{garbage codes}
;{garbage codes}
[autorun
;{garbage codes}
open=Empty/autorun.exe
;{garbage codes}
action=Open folder to view files using Windows Explorer
;{garbage codes}
shell\open\command=Empty/autorun.exe
;{garbage codes}
shell\explore\command=Empty/autorun.exe
;{garbage codes}
useautoplay=1
;{garbage codes}
:GOTO END

作成活動

ワームは、以下のファイルを作成します。

%System Root%\RECYCLER\{Random SID}\Desktop.ini

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)