WORM_OTORUN.KR

ワームは、感染リムーバブルドライブを接続することにより、コンピュータに侵入します。 ワームは、感染ネットワーク共有フォルダを介して、コンピュータに侵入します。 ワームは、他のマルウェアに作成され、コンピュータに侵入します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。 ワームは、ソフトウェアに存在する脆弱性を利用して、同じネットワーク上にある他のコンピュータへの感染活動をします。

ワームは、ダウンロードしたファイルを実行します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

ワームは、感染リムーバブルドライブを接続することにより、コンピュータに侵入します。

ワームは、感染ネットワーク共有フォルダを介して、コンピュータに侵入します。

ワームは、他のマルウェアに作成され、コンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Temp%\srv{3 random hexadecimal digits}.tmp

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

ワームは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• spoolsv.exe

自動実行方法

ワームは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random hexadecimal number}
Type = "20"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random hexadecimal number}
Start = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random hexadecimal number}
ErrorControl = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random hexadecimal number}
ImagePath = "%System Root%\system32\svchost.exe -k netsvcs"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random hexadecimal number}
DisplayName = "srv{3 random hexadecimal digits}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random hexadecimal number}
ObjectName = "LocalSystem"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random hexadecimal number}\parameters
servicedll = "\?\globalroot\Device\HarddiskVolume1\%User Temp%\srv{random hexadecimal number}.exe"

ワームは、以下のレジストリキーを追加し、セーフモード状態でも自身が実行されるようにします。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Minimal\
srv{random hexadecimal number}

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\SvcHost
netsvcs = "srv{random hexadecimal number} {original value}"

(註：変更前の上記レジストリ値は、「"{original value}"」となります。)

ワームは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random hexadecimal number}

他のシステム変更

ワームは、以下のレジストリ値を作成し、Windowsのファイアウォールを回避します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
67:UDP = "67:UDP:*:Enabled:DHCP Server"

感染活動

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• setup1911.fon

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

{garbage characters}
[AUtOrUn]
acTION=OpEn
{garbage characters}
icoN=%wIndir%\SysTeM32\SHELL32.DLl,4
{garbage characters}
uSEAuToPLAy=1
{garbage characters}
OpEN=RUnDLL32.EXE seTUp1911.fon,348976
{garbage characters}
sheLL\EXPlore\coMmAnd=rUNDlL32.exe sEtup1911.fON,348976
{garbage characters}
SHELL\opEn\CoMMAND=rundLl32.eXE setup1911.FoN,348976
{garbage characters}

ワームは、以下のソフトウェアに存在する脆弱性を利用して、ネットワーク上で感染活動をします。

• (MS08-067) Vulnerability in Server Service Could Allow Remote Code Execution (958644)

ダウンロード活動

ワームは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• http://{BLOCKED}.{BLOCKED}.89.121/X
• http://{BLOCKED}.{BLOCKED}.89.121/exe

ワームは、以下のファイル名でダウンロードしたファイルを保存します。

• %Temp%\{random hexadecimal number}.tmp

(註：%Temp%は、＜Windows Temporary フォルダ＞のことで、標準設定では "C:\WINNT\Temp" または "C:\Windows\Temp" です。)

ワームは、ダウンロードしたファイルを実行します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

ワームは、不正リモートユーザに自身のインストールを通知するために以下のWebサイトにアクセスします。

• http://{BLOCKED}.{BLOCKED}.89.121/slog&log=install&id={random string}&os={OS version}&version=1d&data=

ワームは、すべてのリムーバブルドライブおよび共有フォルダに以下のようなショートカットファイル（拡張子LNK）を作成します。ユーザがこれらのショートカットファイルを実行すると、作成された自身のコピー "setup1911.fon" が自動実行されます。

• myporno.avi.lnk
• pornmovs.lnk
• setup1911.lnk

トレンドマイクロの製品では、作成されたこれらのショートカットファイルを「LNK_OTORUN.SM」または「EXPL_CPLNK.SM」として検出します。どちらの検出名になるかは、作成されたショートカットファイルにより自動実行される自身のコピーが、どこに保存されているによって異なります。感染したコンピュータ内に自身のコピーが存在する場合、それを自動実行させるショートカットファイルは「LNK_OTORUN.SM」として検出されます。共有フォルダ内を介して別のコンピュータ内に自身のコピーが存在する場合は、「EXPL_CPLNK.SM」として検出されます。

ワームは、侵入したコンピュータ上のすべての共有フォルダを検索し、確認したフォルダ内に以下のように自身のコピーを作成します。

• setup1911.fon