JS_BONDAT.F

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %User Profile%\{random folder name}\{random string}.js
• %Application Data%\{random folder name}\{random string}.js

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

ワームは、以下のコンポーネントファイルを作成します。

• {removable drive}\{user file or folder name}.lnk - detected as LNK_BONDAT.SM.

  These are shortcut files pointing to the malware's dropped copy in removable drive

ワームは、以下の無害なファイルを作成します。

• %User Profile%\{random folder name}\{string 1}{string 2}{32, 64 or blank}.exe such as intelmon32.exe - copy of the legitimate wscript.exe that is used to execute JS_BONDAT.F
  where {string 1} can be any of the following:
  • win
  • cmd
  • disk
  • dsk
  • ms
  • hp
  • intel
  • amd
  • dll
  • tcp
  • udp
  where {string 2} can be any of the following:
  • process
  • proc
  • monitor
  • mon
  • sys
  • host
  • mgr
  • update
  • updater

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

ワームは、以下のフォルダを作成します。

• %User Profile%\{random folder name}
• %Application Data%\{random folder name}

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

自動実行方法

ワームは、＜User Startup＞フォルダ内に、自身のコピーに誘導する以下のショートカットを作成します。これにより、Windows起動時に自身のコピーが自動実行されます。

• Windows Explorer.lnk - detected as LNK_BONDAT.SM0

他のシステム変更

ワームは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = "2"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = "0"

感染活動

ワームは、すべてのリムーバブルドライブ内に以下のフォルダを作成します。

• {removable drive}\.Trashes
• {removable drive}\.Trashes\{random number}

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {removable drive}\.Trashes\{random number}\{random string}.js

情報漏えい

ワームは、以下の情報を収集します。

• user name
• computer name
• OS Version
• Language
• content of the registry HKLM\Software\Microsoft\Windows NT CurrentVersion\ProductID

情報収集

ワームは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://www2.{BLOCKED}connect.com
• http://{BLOCKED}.{BLOCKED}.3.136
• http://static.{BLOCKED}kweb.net