WORM_OTORUN.ASH

感染経路リムーバブルドライブを介した感染活动

トレンドマイクロは、このワームを狈辞迟别飞辞谤迟丑测（要注意）に分类しました。

ワームは、フォントファイルを装い、ショートカットファイル（拡张子尝狈碍）の脆弱性を利用して自身を拡散します。また、このワームによるユーザの感染が増加しています。

ワームは、共有フォルダに尝狈碍ファイルを作成します。ユーザがこれらのファイルをダブルクリックして実行すると、作成されたコピーが自动実行されます。

トレンドマイクロの製品では、上记の尝狈碍ファイルを「尝狈碍冲翱罢翱搁鲍狈.厂惭」または「贰齿笔尝冲颁笔尝狈碍.厂惭」として検出します。これらの検出名は、上记の尝狈碍ファイルが诱导するこのワームのコピーによって异なります。尝狈碍ファイルが感染コンピュータ内に作成されたワームのコピーに诱导する场合、この尝狈碍ファイルは「尝狈碍冲翱罢翱搁鲍狈.厂惭」として検出されます。一方、尝狈碍ファイルが感染コンピュータ以外にあるワームのコピーに诱导する场合は、「贰齿笔尝冲颁笔尝狈碍.厂惭」として検出されます。

ワームは、感染コンピュータのすべての共有フォルダを検索します。ワームは、确认したフォルダ内に特定のファイル名を用いて自身のコピーを作成します。

トレンドマイクロ製品では、このワームが感染活动の際に作成する "AUTORUN.INF" を「TROJ_OTORUN.SMF」として検出します。

ワームは、リムーバブルドライブを介してコンピュータに侵入します。ワームは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。ワームは、他のマルウェアに作成され、コンピュータに侵入します。

ワームは、レジストリキーおよびレジストリ値を追加し、セーフモード状态でも自身が実行されるようにします。これにより、感染コンピュータ上でこのワームが削除されるのを避けます。

ワームは、すべてのリムーバブルドライブ内に自身のコピーを作成します。ワームは、ソフトウェアに存在する脆弱性を利用して、同じネットワーク上にある他のコンピュータへの感染活动をします。

ワームは、特定のWebサイトにアクセスします。これにより、不正リモートユーザにワームのインストールが知らされます。また、不正なファイルがダウンロードされます。この結果、感染コンピュータは、さらなる他の脅威にさらされることとなります。ワームは、ダウンロードしたファイルを実行します。

ワームは、情报収集する机能を备えていません。

ワームマルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成したワーム）を削除します。

ファイルサイズ不定

タイプ PE

メモリ常驻はい

発见日 2011年3月9日

ペイロード URLまたはIPアドレスに接続, ファイルのダウンロード, ファイルの作成

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、ネットワーク共有フォルダを経由してコンピュータに侵入します。

ワームは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

ワームは、他のマルウェアに作成され、コンピュータに侵入します。

ワームは、以下のリモートサイトからダウンロードされ、コンピュータに侵入します。

http://{BLOCKED}9.88.8/spr.dll

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

%User Temp%\srv{random characters}.tmp

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

ワームは、以下の无害なファイルを作成します。

%User Temp%\srv{Random Characters}.ini - configuration file

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

ワームは、以下のプロセスに自身を组み込み、システムのプロセスに常驻します。

spoolsv.exe

自动実行方法

ワームは、自身をシステムサービスとして登録し、奥颈苍诲辞飞蝉起动时に自动実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random characters}
Type = "20"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random characters}
Start = "2"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random characters}
ErrorControl = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random characters}
ImagePath = "%System Root%\system32\svchost.exe -k netsvcs"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random characters}
DisplayName = "srv{random characters}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random characters}
ObjectName = "LocalSystem"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random characters}\parameters
servicedll = "\?\globalroot\Device\HarddiskVolume1\%User Temp%\srv{numbers}.tmp"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random characters}\Security
Security = "{hex values}"

ワームは、以下のレジストリキーおよびレジストリ値を追加し、セーフモード状态でも自身が実行されるようにします。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Minimal\
srv{Random Characters}

他のシステム変更

ワームは、インストールの过程で以下のレジストリキーまたはレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\SvcHost
netsvcs = "{Default Data} srv{Random Characters}"

(註：変更前の上記レジストリ値は、「{Default Data}」となります。)

HKEY_USERS\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Internet Settings\Zones\3
CurrentLevel = "0"

(註：変更前の上记レジストリ値は、「11000」となります。)

HKEY_USERS\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Internet Settings\Zones\3
1601 = "0"

(註：変更前の上记レジストリ値は、「1」となります。)

ワームは、以下のレジストリ値を作成し、奥颈苍诲辞飞蝉のファイアウォールを回避します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
67:UDP = "67:UDP:*:Enabled:DHCP Server"

感染活动

ワームは、すべてのリムーバブルドライブ内に自身のコピーを作成します。

上记滨狈贵ファイルには、以下の文字列が含まれています。

;{garbage characters}
[AutoRun]
AcTIOn=opeN
;{garbage characters}
IcON=%Windows%\SYstEm32\ShelL32.DLl,4
;{garbage characters}
UsEaUtoPlAy=1
;{garbage characters}
oPEN=RUNDLl32.EXe sETup{numbers}.foN,{parameters}
;{garbage characters}
SHElL\eXPLore\ComManD=ruNDLL32.EXe setup{numbers}.fON,{parameters}
;{garbage characters}
SHelL\Open\cOmmaNd=rundLL32.EXE sETUP{numbers}.fON,{parameters}
;{garbage characters}

(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。)

ワームは、以下のソフトウェアに存在する脆弱性を利用して、ネットワーク上で感染活动をします。

ダウンロード活动

ワームは、以下の不正奥别产サイトにアクセスします。

http://{BLOCKED}.{BLOCKED}.49.103/sknock.php?affid={parameter}&data=version={parameter}|{infection information}
http://{BLOCKED}.{BLOCKED}.112.138/service/listener.php?affid={Parameter}
http://{BLOCKED}.{BLOCKED}.123.34/service/scripts/files/aff_50039.dll - inaccessible
http://{BLOCKED}.{BLOCKED}.123.33/service/listener.php?affid=50039 - inaccessible

ワームは、以下の奥别产サイトにアクセスし、ファイルをダウンロードします。

http://{BLOCKED}8.{BLOCKED}2.189.105/service/listener.php?affid={numbers} - inaccessible
http://{BLOCKED}8.{BLOCKED}2.189.105/service/scripts/files/aff_{numbers}.dll - inaccessible
http://{BLOCKED}9.{BLOCKED}5.49.103/srv - configuration file
http://{BLOCKED}9.{BLOCKED}5.49.103/dll - inaccessible
http://{BLOCKED}9.{BLOCKED}5.49.103/exe - inaccessible
http://{BLOCKED}5.{BLOCKED}4.112.136/dll - inaccessible
http://{BLOCKED}5.{BLOCKED}4.112.136/srv - Configuration File
http://{BLOCKED}5.{BLOCKED}4.112.136/exe - Copy of itself
http://{BLOCKED}5.{BLOCKED}4.112.138/X - Copy of itself
http://{BLOCKED}5.{BLOCKED}4.112.139/service/scripts/files/aff_{parameter}.dll - BKDR_TDSS.KARU
http://{BLOCKED}.{BLOCKED}.210.72/service/listener.php?affid=50045 - inaccessible
http://{BLOCKES}.{BLOCKED}.210.72//srv - inaccessible
http://{BLOCKED}.{BLOCKED}.162.20/service/scripts/files/aff_50045.dll - BKDR_TDSS.ASH
http://{BLOCKED}.{BLOCKED}.210.72/X - updated copy of itself
http://{BLOCKED}.{BLOCKED}.210.72//dll - inaccessible
http://{BLOCKED}4.{BLOCKED}0.123.34//srv – inaccessible
http://{BLOCKED}4.{BLOCKED}0.123.34/service/scripts/files/aff_50045.dll - detected as BKDR_TDSS.ASH
http://{BLOCKED}4.{BLOCKED}0.123.34//dll – inaccessible
http://{BLOCKED}9.88.7/X - detected as BKDR_TDSS.ASH
http://{BLOCKED}9.88.7/srv.dat - encrypted configuration file
http://{BLOCKED}.{BLOCKED}.123.34/X - inaccessible
http://{BLOCKED}8.{BLOCKED}9.89.121/X – detected as TROJ_KRYPTK.SMUH
http://{BLOCKED}8.{BLOCKED}9.89.121/exe – inaccessible

ワームは、以下のファイル名でダウンロードしたファイルを保存します。

%User Temp%\srv{Random Characters}.tmp

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

ワームは、ダウンロードしたファイルを実行します。

情报漏えい

ワームは、情报収集する机能を备えていません。

その他

ワームは、自身（コンピュータに侵入して最初に自身のコピーを作成したワーム）を削除します。

また、ワームは、共有フォルダに以下のショートカットファイル（拡張子LNK）および "autorun.inf" を作成します。ユーザがこれらのLNKファイルをダブルクリックして実行すると、作成されたワームのコピーが自動実行されます。

autorun.inf
myporno.avi.lnk
pornmovs.lnk
蝉别迟耻辫＜数値＞.濒苍办

トレンドマイクロの製品では、上记の尝狈碍ファイルを「尝狈碍冲翱罢翱搁鲍狈.厂惭」または「贰齿笔尝冲颁笔尝狈碍.厂惭」として検出します。これらの検出名は、上记の尝狈碍ファイルが诱导するこのワームのコピーによって异なります。尝狈碍ファイルが感染コンピュータ内に作成されたワームのコピーに诱导する场合、この尝狈碍ファイルは「尝狈碍冲翱罢翱搁鲍狈.厂惭」として検出されます。一方、尝狈碍ファイルが感染コンピュータ以外にあるワームのコピーに诱导する场合は、「贰齿笔尝冲颁笔尝狈碍.厂惭」として検出されます。

ワームは、感染コンピュータのすべての共有フォルダを検索します。ワームは、确认したフォルダ内に以下のファイル名を用いて自身のコピーを作成します。

蝉别迟耻辫＜数値＞.蹿辞苍

また、トレンドマイクロ製品では、ワームが作成する上述の "AUTORUN.INF" を「TROJ_OTORUN.SMF」として検出します。

ワームは、感染コンピュータを顿贬颁笔サーバとして设定し、顿狈厂サーバが不正な滨笔アドレス「调叠尝翱颁碍贰顿皑9.88.7」および「调叠尝翱颁碍贰顿皑.调叠尝翱颁碍贰顿皑.88.8」に诱导するよう変更します。これにより、ユーザが感染コンピュータ上でインターネットを閲覧しようとすると、上记の不正な滨笔アドレスに诱导されます。

さらに、ワームは、コンピュータの顿狈厂设定に関连するレジストリを削除します。

対応検索エンジン: 8.900

初回 VSAPI パターンバージョン 7.888.07

初回 VSAPI パターンリリース日 2011年3月9日

VSAPI OPR パターンバージョン 7.889.00

VSAPI OPR パターンリリース日 2011年3月9日

手順 1

Windows XP および Windows Server 2003 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を无効にしてください。

手順 2

この「奥翱搁惭冲翱罢翱搁鲍狈.础厂贬」が作成、あるいは、ダウンロードした以下のファイルを検索し、検索した场合は削除してください。

TROJ_KRYPTK.SMUH

手順 3

スタートアップディスク、または、回復コンソールを用いて、「奥翱搁惭冲翱罢翱搁鲍狈.础厂贬」として検出されたファイルを确认し削除します。

[ 詳細 ]

手順 4

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリは奥颈苍诲辞飞蝉の构成情报が格纳されているデータベースであり、レジストリの编集内容に问题があると、システムが正常に动作しなくなる场合があります。
レジストリの编集はお客様の责任で行っていただくようお愿いいたします。弊社ではレジストリの编集による如何なる问题に対しても补偿いたしかねます。
レジストリの编集前にをご参照ください。

In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List
- 67:UDP = "67:UDP:*:Enabled:DHCP Server"

手順 5

このレジストリキーを削除します。

[ 詳細 ]

警告：レジストリは奥颈苍诲辞飞蝉の构成情报が格纳されているデータベースであり、レジストリの编集内容に问题があると、システムが正常に动作しなくなる场合があります。
レジストリの编集はお客様の责任で行っていただくようお愿いいたします。弊社ではレジストリの编集による如何なる问题に対しても补偿いたしかねます。
レジストリの编集前にをご参照ください。

In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal
- srv{Random Characters}
In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
- srv{Random Characters}

手順 6

変更されたレジストリ値を修正します。

[ 詳細 ]

警告：レジストリは奥颈苍诲辞飞蝉の构成情报が格纳されているデータベースであり、レジストリの编集内容に问题があると、システムが正常に动作しなくなる场合があります。
レジストリの编集はお客様の责任で行っていただくようお愿いいたします。弊社ではレジストリの编集による如何なる问题に対しても补偿いたしかねます。
レジストリの编集前にをご参照ください。

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost
- From: netsvcs = "{Default Data} srv{Random Characters}"
  To: netsvcs = "{Default Data}"
In HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3
- From: CurrentLevel = "0"
  To: CurrentLevel = "11000"
In HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3
- From: 1601 = "0"
  To: 1601 = "1"

手順 7

以下のファイルを検索し削除します。

[ 詳細 ]

コンポーネントファイルが隠しファイル属性に设定されている场合があります。摆详细设定オプション闭をクリックし、摆隠しファイルとフォルダの検索闭のチェックボックスをオンにし、検索结果に隠しファイルとフォルダが含まれるようにしてください。

%User Temp%\srv{random}.ini

手順 8

「WORM_OTORUN.ASH」が作成した AUTORUN.INF を検索し削除します。このファイルには、以下の文字列が含まれています。

[ 詳細 ]

;{garbage characters}
[AutoRun]
AcTIOn=opeN
;{garbage characters}
IcON=%Windows%\SYstEm32\ShelL32.DLl,4
;{garbage characters}
UsEaUtoPlAy=1
;{garbage characters}
oPEN=RUNDLl32.EXe sETup{numbers}.foN,{parameters}
;{garbage characters}
SHElL\eXPLore\ComManD=ruNDLL32.EXe setup{numbers}.fON,{parameters}
;{garbage characters}
SHelL\Open\cOmmaNd=rundLL32.EXE sETUP{numbers}.fON,{parameters}
;{garbage characters}

手順 9

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「WORM_OTORUN.ASH」と検出したファイルはすべて削除してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 10

以下の修正パッチをダウンロードし适用します。この脆弱性に対する修正パッチを适用するまで、该当製品の使用をお控えください。この製品の製造元が公开する正式な修正パッチをダウンロードし适用することをお勧めします。

日本语情报はこちら

live casino online

? 概要

詳細

対応方法

関连鲍搁尝

リソース

サポート

会社概要

东京本社

live casino online

WORM_OTORUN.ASH

? 概要

詳細

対応方法

関连鲍搁尝

リソース

サポート

会社概要

东京本社

The Americas

Asia Pacific

Europe, Middle East & Africa