WORM_CRIDEX.GKL

ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、感染コンピュータに接続しているすべてのリムーバブルドライブ内に自身のコピーを作成します。 ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ワームは、特定のWebサイトにアクセスします。これにより、不正リモートユーザにワームのインストールが知らされます。また、不正なファイルがダウンロードされます。この結果、感染コンピュータは、さらなる他の脅威にさらされることとなります。

ワーム マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した ワーム ）を削除します。

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %User Profile%\Application Data\KB{random number}.exe

(註：%User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。)

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
KB{random number}.exe = "%User Profile%\Application Data\KB{random number}.exe"

他のシステム変更

ワームは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\{random hex string 1}

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\{random hex string 2}

ワームは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
GlobalUserOffline = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\{random hex string 1}
(Default) = "{hex values}"

感染活動

ワームは、感染コンピュータに接続しているすべてのリムーバブルドライブ内に自身のコピーを作成します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[autorun]
open={Malware Path and File Name}.exe
shell\Open\Command={Malware Path and File Name}.exe
shell\Open\Default=1
shell\Explore\Command={Malware Path and File Name}.exe
shell\Autoplay\command={Malware Path and File Name}.exe

ダウンロード活動

ワームは、以下の不正Webサイトにアクセスします。

• http://{BLOCKED}.{BLOCKED}.140.202:8080/za/v_01_a/in/
• http://{BLOCKED}.{BLOCKED}.194.242:8080/za/v_01_a/in/
• http://{BLOCKED}.{BLOCKED}.134.23:8080/za/v_01_a/in/
• http://{BLOCKED}.{BLOCKED}.214.180:8080/za/v_01_a/in/
• http://{BLOCKED}.{BLOCKED}.5.140:8080/za/v_01_a/in/
• http://{BLOCKED}.{BLOCKED}.150.72:8080/za/v_01_a/in/
• http://{BLOCKED}.{BLOCKED}.206.179:8080/za/v_01_a/in/
• http://{BLOCKED}.{BLOCKED}.23.100:8080/za/v_01_a/in/
• http://{BLOCKED}.{BLOCKED}.164.18:8080/za/v_01_a/in/
• http://{BLOCKED}.{BLOCKED}.204.32:8080/za/v_01_a/in/
• http://{BLOCKED}.{BLOCKED}.179.185:8080/za/v_01_a/in/
• http://{BLOCKED}.{BLOCKED}.189.212:8080/za/v_01_a/in/
• http://{BLOCKED}.{BLOCKED}.49.51:8080/za/v_01_a/in/

その他

ワーム は、自身（コンピュータに侵入して最初に自身のコピーを作成した ワーム ）を削除します。