WORM_OTOIT.TN

ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ワームは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %System%\csrcs.exe

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

ワームは、以下のファイルを作成します。

• %System%\autorun.inf

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

ワームは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• 6E523163793968624
• 95A5756335A574A364C6
• Q9V1S45G64H79AF6G54B984FGBASASASAS

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer\Run
csrcs = "%System%\csrcs.exe"

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Shell = "Explorer.exe csrcs.exe"

(註：変更前の上記レジストリ値は、「Explorer.exe」となります。)

他のシステム変更

ワームは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
DRM\amty

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer\Run

ワームは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
DRM\amty
dreg = "{random}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
DRM\amty
exp1 = "{random}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
DRM\amty
fix = ""

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
DRM\amty
fix1 = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
DRM\amty
ilop = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
GlobalUserOffline = "0"

ワームは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = "2"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
SuperHidden = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

ワームは、以下のレジストリ値を作成し、Windowsのファイアウォールを回避します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%System%\csrcs.exe = "%System%\csrcs.exe:*:Enabled:Windows Life Messenger"

感染活動

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {random filename}.exe

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

;{garbage}
[AutoRun]
;{garbage}
open={random filename}.exe
;{garbage}
shell\open\Command={random filename}.exe
;{garbage}
shell\open\Default=1
;{garbage}
;{garbage}
shell\explore\Command={random filename}.exe
;{garbage}

バックドア活動

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• Download and execute Files
• Log keystrokes
• Manage files
• Manage open Windows
• Manage processes
• Manage registries
• Perform Denial of Service
• Perform remote shell
• Refresh IP
• Remove itself and clean autorun registry entries
• Set-up IRC bot
• Spread itself to all physical and removable drives
• Update, restart, terminate itself
• Get following information:
  • IP address
  • Language
  • Computer information
  • OS information
  • User information
  • Drive Information
  • MSN contacts

ワームは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://{BLOCKED}t.{BLOCKED}s.com:6854/di.gif
• http://{BLOCKED}o.{BLOCKED}s.com:6854/yuyo.php
• http://{BLOCKED}u.{BLOCKED}p.jp:6854/di.gi
• http://{BLOCKED}k.{BLOCKED}n.ph:6854/di.gif
• http://{BLOCKED}k.{BLOCKED}n.ph:6854/yuyal.php
• http://{BLOCKED}n.{BLOCKED}z.hm:6854/di.gif
• http://{BLOCKED}e.{BLOCKED}r.tp:6854/di.gif

その他

ワームは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://checkip.{BLOCKED}s.org/?rnd1={random}rnd2={random}
• http://www.{BLOCKED}myip.com/?rnd1={random}rnd2={random}
• http://www.{BLOCKED}myip.com/automation/n09230945.asp