WORM_OTORUN.ASH

トレンドマイクロは、このワームをNoteworthy（要注意）に分類しました。

ワームは、フォントファイルを装い、ショートカットファイル（拡張子LNK）の脆弱性を利用して自身を拡散します。また、このワームによるユーザの感染が増加しています。

ワームは、共有フォルダにLNKファイルを作成します。ユーザがこれらのファイルをダブルクリックして実行すると、作成されたコピーが自動実行されます。

トレンドマイクロの製品では、上記のLNKファイルを「LNK_OTORUN.SM」または「EXPL_CPLNK.SM」として検出します。これらの検出名は、上記のLNKファイルが誘導するこのワームのコピーによって異なります。LNKファイルが感染コンピュータ内に作成されたワームのコピーに誘導する場合、このLNKファイルは「LNK_OTORUN.SM」として検出されます。一方、LNKファイルが感染コンピュータ以外にあるワームのコピーに誘導する場合は、「EXPL_CPLNK.SM」として検出されます。

ワームは、感染コンピュータのすべての共有フォルダを検索します。ワームは、確認したフォルダ内に特定のファイル名を用いて自身のコピーを作成します。

トレンドマイクロ製品では、このワームが感染活動の際に作成する "AUTORUN.INF" を「TROJ_OTORUN.SMF」として検出します。

ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。 ワームは、他のマルウェアに作成され、コンピュータに侵入します。

ワームは、レジストリキーおよびレジストリ値を追加し、セーフモード状態でも自身が実行されるようにします。これにより、感染コンピュータ上でこのワームが削除されるのを避けます。

ワームは、すべてのリムーバブルドライブ内に自身のコピーを作成します。 ワームは、ソフトウェアに存在する脆弱性を利用して、同じネットワーク上にある他のコンピュータへの感染活動をします。

ワームは、特定のWebサイトにアクセスします。これにより、不正リモートユーザにワームのインストールが知らされます。また、不正なファイルがダウンロードされます。この結果、感染コンピュータは、さらなる他の脅威にさらされることとなります。 ワームは、ダウンロードしたファイルを実行します。

ワームは、情報収集する機能を備えていません。

ワーム マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した ワーム ）を削除します。

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、ネットワーク共有フォルダを経由してコンピュータに侵入します。

ワームは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

ワームは、他のマルウェアに作成され、コンピュータに侵入します。

ワームは、以下のリモートサイトからダウンロードされ、コンピュータに侵入します。

• http://{BLOCKED}9.88.8/spr.dll

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Temp%\srv{random characters}.tmp

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

ワームは、以下の無害なファイルを作成します。

• %User Temp%\srv{Random Characters}.ini - configuration file

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

ワームは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• spoolsv.exe

自動実行方法

ワームは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random characters}
Type = "20"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random characters}
Start = "2"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random characters}
ErrorControl = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random characters}
ImagePath = "%System Root%\system32\svchost.exe -k netsvcs"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random characters}
DisplayName = "srv{random characters}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random characters}
ObjectName = "LocalSystem"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random characters}\parameters
servicedll = "\?\globalroot\Device\HarddiskVolume1\%User Temp%\srv{numbers}.tmp"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random characters}\Security
Security = "{hex values}"

ワームは、以下のレジストリキーおよびレジストリ値を追加し、セーフモード状態でも自身が実行されるようにします。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Minimal\
srv{Random Characters}

他のシステム変更

ワームは、インストールの過程で以下のレジストリキーまたはレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\SvcHost
netsvcs = "{Default Data} srv{Random Characters}"

(註：変更前の上記レジストリ値は、「{Default Data}」となります。)

HKEY_USERS\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Internet Settings\Zones\3
CurrentLevel = "0"

(註：変更前の上記レジストリ値は、「11000」となります。)

HKEY_USERS\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Internet Settings\Zones\3
1601 = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

ワームは、以下のレジストリ値を作成し、Windowsのファイアウォールを回避します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
67:UDP = "67:UDP:*:Enabled:DHCP Server"

感染活動

ワームは、すべてのリムーバブルドライブ内に自身のコピーを作成します。

上記INFファイルには、以下の文字列が含まれています。

;{garbage characters}
[AutoRun]
AcTIOn=opeN
;{garbage characters}
IcON=%Windows%\SYstEm32\ShelL32.DLl,4
;{garbage characters}
UsEaUtoPlAy=1
;{garbage characters}
oPEN=RUNDLl32.EXe sETup{numbers}.foN,{parameters}
;{garbage characters}
SHElL\eXPLore\ComManD=ruNDLL32.EXe setup{numbers}.fON,{parameters}
;{garbage characters}
SHelL\Open\cOmmaNd=rundLL32.EXE sETUP{numbers}.fON,{parameters}
;{garbage characters}

(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。)

ワームは、以下のソフトウェアに存在する脆弱性を利用して、ネットワーク上で感染活動をします。

• Vulnerability in Server Service Could Allow Remote Code Execution (958644)

ダウンロード活動

ワームは、以下の不正Webサイトにアクセスします。

• http://{BLOCKED}.{BLOCKED}.49.103/sknock.php?affid={parameter}&data=version={parameter}|{infection information}
• http://{BLOCKED}.{BLOCKED}.112.138/service/listener.php?affid={Parameter}
• http://{BLOCKED}.{BLOCKED}.123.34/service/scripts/files/aff_50039.dll - inaccessible
• http://{BLOCKED}.{BLOCKED}.123.33/service/listener.php?affid=50039 - inaccessible

ワームは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• http://{BLOCKED}8.{BLOCKED}2.189.105/service/listener.php?affid={numbers} - inaccessible
• http://{BLOCKED}8.{BLOCKED}2.189.105/service/scripts/files/aff_{numbers}.dll - inaccessible
• http://{BLOCKED}9.{BLOCKED}5.49.103/srv - configuration file
• http://{BLOCKED}9.{BLOCKED}5.49.103/dll - inaccessible
• http://{BLOCKED}9.{BLOCKED}5.49.103/exe - inaccessible
• http://{BLOCKED}5.{BLOCKED}4.112.136/dll - inaccessible
• http://{BLOCKED}5.{BLOCKED}4.112.136/srv - Configuration File
• http://{BLOCKED}5.{BLOCKED}4.112.136/exe - Copy of itself
• http://{BLOCKED}5.{BLOCKED}4.112.138/X - Copy of itself
• http://{BLOCKED}5.{BLOCKED}4.112.139/service/scripts/files/aff_{parameter}.dll - BKDR_TDSS.KARU
• http://{BLOCKED}.{BLOCKED}.210.72/service/listener.php?affid=50045 - inaccessible
• http://{BLOCKES}.{BLOCKED}.210.72//srv - inaccessible
• http://{BLOCKED}.{BLOCKED}.162.20/service/scripts/files/aff_50045.dll - BKDR_TDSS.ASH
• http://{BLOCKED}.{BLOCKED}.210.72/X - updated copy of itself
• http://{BLOCKED}.{BLOCKED}.210.72//dll - inaccessible
• http://{BLOCKED}4.{BLOCKED}0.123.34//srv – inaccessible
• http://{BLOCKED}4.{BLOCKED}0.123.34/service/scripts/files/aff_50045.dll - detected as BKDR_TDSS.ASH
• http://{BLOCKED}4.{BLOCKED}0.123.34//dll – inaccessible
• http://{BLOCKED}9.88.7/X - detected as BKDR_TDSS.ASH
• http://{BLOCKED}9.88.7/srv.dat - encrypted configuration file
• http://{BLOCKED}.{BLOCKED}.123.34/X - inaccessible
• http://{BLOCKED}8.{BLOCKED}9.89.121/X – detected as TROJ_KRYPTK.SMUH
• http://{BLOCKED}8.{BLOCKED}9.89.121/exe – inaccessible

ワームは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\srv{Random Characters}.tmp

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

ワームは、ダウンロードしたファイルを実行します。

情報漏えい

ワームは、情報収集する機能を備えていません。

その他

ワーム は、自身（コンピュータに侵入して最初に自身のコピーを作成した ワーム ）を削除します。

また、ワームは、共有フォルダに以下のショートカットファイル（拡張子LNK）および "autorun.inf" を作成します。ユーザがこれらのLNKファイルをダブルクリックして実行すると、作成されたワームのコピーが自動実行されます。

• autorun.inf
• myporno.avi.lnk
• pornmovs.lnk
• setup＜数値＞.lnk

トレンドマイクロの製品では、上記のLNKファイルを「LNK_OTORUN.SM」または「EXPL_CPLNK.SM」として検出します。これらの検出名は、上記のLNKファイルが誘導するこのワームのコピーによって異なります。LNKファイルが感染コンピュータ内に作成されたワームのコピーに誘導する場合、このLNKファイルは「LNK_OTORUN.SM」として検出されます。一方、LNKファイルが感染コンピュータ以外にあるワームのコピーに誘導する場合は、「EXPL_CPLNK.SM」として検出されます。

ワームは、感染コンピュータのすべての共有フォルダを検索します。ワームは、確認したフォルダ内に以下のファイル名を用いて自身のコピーを作成します。

• setup＜数値＞.fon

また、トレンドマイクロ製品では、ワームが作成する上述の "AUTORUN.INF" を「TROJ_OTORUN.SMF」として検出します。

ワームは、感染コンピュータをDHCPサーバとして設定し、DNSサーバが不正なIPアドレス「{BLOCKED}9.88.7」および「{BLOCKED}.{BLOCKED}.88.8」に誘導するよう変更します。これにより、ユーザが感染コンピュータ上でインターネットを閲覧しようとすると、上記の不正なIPアドレスに誘導されます。

さらに、ワームは、コンピュータのDNS設定に関連するレジストリを削除します。