VBS_AGENT.AVKG

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Profile%\My Documents\df5srvc.bfe
• %System Root%\{all folders found}\desktop.ini
• %System Root%\desktop.ini

(註：%User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。. %System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Df5serv = Wscript.exe //e:VBScript "%User Profile%\My Documents\df5srvc.bfe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Explorer = Wscript.exe //e:VBScript "%Application Data%\Microsoft\CD Burning\dekstop.ini"

他のシステム変更

ワームは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder\SuperHidden

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System

ワームは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder\SuperHidden
WarningIfNotDefault = fandy love yuyun

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableRegistrytools = 1

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = 1

ワームは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Start Page = http://www.{BLOCKED}t.co.nr

(註：変更前の上記レジストリ値は、「{default homepage}」となります。)

ワームは、以下のレジストリ値を変更し、隠しファイル属性のファイルを非表示にします。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder\SuperHidden
UncheckedValue = 1

(註：変更前の上記レジストリ値は、「0」となります。)

感染活動

上記INFファイルには、以下の文字列が含まれています。

[autorun]
open=WScript.exe //e:VBScript dekstop.ini auto
shell\open=Open
shell\open\Command=WScript.exe //e:VBScript dekstop.ini auto
shell\open\Default=1
shell\explore=Explore
shell\explore\Command=WScript.exe //e:VBScript dekstop.ini auto

作成活動

ワームは、以下のファイルを作成します。

• %System Root%\autorun.inf - detected by Trend Micro as Mal_Otorun1
• %System Root%\{all folders found}\autorun.inf - detected by Trend Micro as Mal_Otorun1
• %System Root%\Microsoft.lnk
• %System Root%\Aplikasi.lnk
• %System Root%\{all folders found}\Microsoft.lnk
• %System Root%\{all folders found}\Aplikasi.lnk
• %System%\Serv60d.dll - nonmalicious
• %System%\auto.exe - detected by Trend Micro as Mal_Otorun1
• %System%\v.doc - nonmalicious

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)