WORM_UTOTI.VRU

ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、以下のファイルを作成します。

• C:\Google\Autoit3.exe
• C:\Google\Google.lnk
• C:\Google\Windowsupdate.lnk
• C:\Google\GoogleUpdate.lnk
• %User Startup%\GoogleUpdate.lnk
• %User Startup%\WindowsUpdate.lnk
• {removable drive letter}:\Hot.lnk
• {removable drive letter}:\Movies.lnk
• {removable drive letter}:\My Games.lnk
• {removable drive letter}:\My Pictuers.lnk
• {removable drive letter}:\My Videos.lnk

(註：%User Startup%フォルダは、Windows 98 および ME の場合、通常、"C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup"、Windows NT の場合、"C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" および "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。)

ワームは、以下のフォルダの属性をシステムフォルダおよび隠しフォルダに設定します。これにより、自身のコンポーネントの検出および削除を避けます。

• C:\Google

ワームは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• googleupdate

自動実行方法

ワームは、作成されたコンポーネントがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
Windows Update = "C:\Google\Windowsupdate.lnk"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Windows Update = "C:\Google\Windowsupdate.lnk"

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
JavaUpdate = "C:\Google\GoogleUpdate.lnk"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
AdopeUpdate = "C:\Google\GoogleUpdate.lnk"

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
NewJavaInstall = "C:\Google\AutoIt3.exe /AutoIt3ExecuteScript C:\Google\googleupdate.a3x"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
AdopeFlash = "C:\Google\AutoIt3.exe /AutoIt3ExecuteScript C:\Google\googleupdate.a3x"

他のシステム変更

ワームは、以下のファイルを削除します。

• C:\Google\googleupdate.vbs

ワームは、以下のレジストリ値を変更し、隠しファイル属性のファイルを非表示にします。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = 0

(註：変更前の上記レジストリ値は、「"1"」となります。)

バックドア活動

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• Stop the malware process
• Start the malware
• Perform a shell command
• Delete the current malware copy and execute updated copy
• Display message box prompt
• Access receive URL
• Download file
• Perform system shut down
• Perform system restart
• Log off current user session
• Perform system standby

ワームは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}u.{BLOCKED}o.org:86

ワームは、コマンド＆コントロール（C&C）サーバに以下の情報を通知します。

• Windows volume ID
• Computer's network name
• ID of the currently logged on user.
• Country code
• OS Version
• Architecture type of the currently running Operating System
• List of installed Anti Virus product

その他

ワームは、以下のプロセスの存在を確認します。

• explorer.exe

ワームは、以下のWebサイトにアクセスし、感染コンピュータの位置情報を取得します。

• http://www.geoplugin.net/json.gp