WindowsのCLSID(GUID)の中にはフォルダー名に拡張子として設定することで、特殊なフォルダーやコントロールパネルなどとして機能させることができるものがある。この機能を悪用して、攻撃用のファイルを隠蔽する「Dynamer」と呼ばれるマルウェアが出てきているそうだ(McAfee Labs Blogの記事、 Softpediaの記事)。

こういったCLSIDとしては、コントロールパネルの全ページをまとめた「God Mode」と呼ばれるフォルダーを作成可能な「{ED7BA470-8E54-465E-825C-99712043E01C}」がよく知られている。特殊なCLSIDを拡張子に設定したフォルダーをエクスプローラー上でダブルクリックすると特殊フォルダーやコントロールパネルが開かれ、フォルダーの内容にアクセスすることはできなくなる。ただし、フォルダーに格納したファイルのパスを直接指定すればアクセスは可能だ。Dynamerはこれを悪用して実行ファイルを隠し、レジストリの「HKCU\SOFTWARE\Microsoft\Windows\run」にパスを指定してログイン時に自動実行するのだという。

Dynamerは「%appdata%」フォルダー(C:\Users\<ユーザー名>\AppData\Roaming)に「com4.{241D7C96-F8BF-4F85-B01F-E2B043341A4B}」という名前のフォルダーを作成し、実行ファイルを格納する。このCLSIDはコントロールパネルの「RemoteAppとデスクトップ」に該当するものだ。フォルダーのベース名が「com4」となっているのは、簡単に削除できないようにするためだという。「com4」はエクスプローラーやコマンドプロンプトからデバイス名として扱われるので、この名前のフォルダーは削除できない。

ただし、UNCパスでフォルダーを指定すれば「rd」コマンドで削除することは可能だ。つまり、コマンドプロンプト上で「rd \\.\%appdata%\com4.{241D7C96-F8BF-4F85-B01F-E2B043341A4B} /s /q」のように入力して実行すれば削除できるとのことだ。