PERL_SHELLBOT.WZ

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、2014年9月に発生したオープンソースプログラム「bash」に存在する脆弱性を利用したエクスプロイトによる攻撃に関連しています。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、IRCチャンネルに参加します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

バックドア活動

マルウェアは、以下のいずれかのIRCサーバに接続します。

• {BLOCKED}i.bot.nu:5190

マルウェアは、以下のいずれかのIRCチャンネルに参加します。

• #nrpe

マルウェアは、リモートでInternet Relay Chat （IRC）サーバにアクセスし、不正リモートユーザから以下のコマンドを受信します。

• join - Join a channel
• part - Leave a channel
• rejoin - Leave and rejoin a channel
• op - Grant a user an operator status
• deop - Revoke a users operator status
• voice - Grant a user an voice status
• devoice - Revoke a users voice status
• nick - Change nickname
• msg - Send a private message
• quit - Disconnect from the IRC server
• raw - Send raw data to the IRC server
• die - Terminate itself
• udp1, udp2, udp3 - Perform UDP flooding
• tcp - Perform TCP flooding
• http - Perform HTTP flooding
• ctcpflood - Send 20 IRC private messages to a target
• msgflood - Send a long IRC private message to a target
• noticeflood - Send two long IRC notice messages to a target
• cback - Execute a remote shell (/bin/sh or cmd.exe)
• download - Download from a URL and save to a specified file
• portscan - Scans an IP address for the following ports: 1, 7, 9, 14, 20, 21, 22, 23, 25, 53, 80, 88, 110, 112, 113, 137, 143, 145, 222, 333, 405, 443, 444, 445, 512, 587, 616, 666, 993, 995, 1024, 1025, 1080, 1144, 1156, 1222, 1230, 1337, 1348, 1628, 1641, 1720, 1723, 1763, 1983, 1984, 1985, 1987, 1988, 1990, 1994, 2005, 2020, 2121, 2200, 2222, 2223, 2345, 2360, 2500, 2727, 3130, 3128, 3137, 3129, 3303, 3306, 3333, 3389, 4000, 4001, 4471, 4877, 5252, 5522, 5553, 5554, 5642, 5777, 5800, 5801, 5900, 5901, 6062, 6550, 6522, 6600, 6622, 6662, 6665, 6666, 6667, 6969, 7000, 7979, 8008, 8080, 8081, 8082, 8181, 8246, 8443, 8520, 8787, 8855, 8880, 8989, 9855, 9865, 9997, 9999, 10000, 10001, 10010, 10222, 11170, 11306, 11444, 12241, 12312, 14534, 14568, 15951, 17272, 19635, 19906, 19900, 20000, 21412, 21443, 21205, 22022, 30999, 31336, 31337, 32768, 33180, 35651, 36666, 37998, 41114, 41215, 44544, 45055, 45555, 45678, 51114, 51247, 51234, 55066, 55555, 65114, 65156, 65120, 65410, 65500, 65501, 65523, 65533
• mail - Send an email to a target
• port - Open a connection to a specified IP address and port
• dns - Resolve an address to its IP address

その他

マルウェアが不正リモートユーザから受信するコマンドは、以下のとおりです。

• join - チャンネルに参加
• part - チャンネルを抜ける
• rejoin - チャンネルを抜け再度参加
• op - ユーザにオペレータのステータスを許可
• deop - ユーザのオペレータのステータスを無効化
• voice - ユーザにボイスのステータスを許可
• devoice - ユーザのボイスのステータスを無効化
• nick - ニックネームの変更
• msg - プライベートメッセージの送信
• quit - IRCサーバから切断
• raw - IRCサーバへソースデータを送信
• die - 自身を終了
• udp1, udp2, udp3 - UDPフラッドを実行
• tcp - TCPフラッドを実行
• http - HTTPフラッドを実行
• ctcpflood - 対象に20のIRCプライベートメッセージを送信
• msgflood - 対象に長いIRCプライベートメッセージを送信
• noticeflood - 対象に長いIRC通知メッセージを送信
• cback - リモートシェル(/bin/sh or cmd.exe)の実行
• download - URLからダウンロードし、特定のファイルへ保存
• portscan - 以下のポートへ向かうIPアドレスをスキャン：
  • 1, 7, 9, 14, 20, 21, 22, 23, 25, 53, 80, 88, 110, 112, 113, 137, 143, 145, 222, 333, 405, 443, 444, 445, 512, 587, 616, 666, 993, 995, 1024, 1025, 1080, 1144, 1156, 1222, 1230, 1337, 1348, 1628, 1641, 1720, 1723, 1763, 1983, 1984, 1985, 1987, 1988, 1990, 1994, 2005, 2020, 2121, 2200, 2222, 2223, 2345, 2360, 2500, 2727, 3130, 3128, 3137, 3129, 3303, 3306, 3333, 3389, 4000, 4001, 4471, 4877, 5252, 5522, 5553, 5554, 5642, 5777, 5800, 5801, 5900, 5901, 6062, 6550, 6522, 6600, 6622, 6662, 6665, 6666, 6667, 6969, 7000, 7979, 8008, 8080, 8081, 8082, 8181, 8246, 8443, 8520, 8787, 8855, 8880, 8989, 9855, 9865, 9997, 9999, 10000, 10001, 10010, 10222, 11170, 11306, 11444, 12241, 12312, 14534, 14568, 15951, 17272, 19635, 19906, 19900, 20000, 21412, 21443, 21205, 22022, 30999, 31336, 31337, 32768, 33180, 35651, 36666, 37998, 41114, 41215, 44544, 45055, 45555, 45678, 51114, 51247, 51234, 55066, 55555, 65114, 65156, 65120, 65410, 65500, 65501, 65523, 65533
• mail - 対象へEメールの送信
• port - 特定のIPアドレスやポートへの接続のオープン
• dns - アドレスをIPアドレスへ解決

コマンドラインパラメータが存在する場合、マルウェアは、"{BLOCKED}i.bot.nu:5190"の代わりにIRCサーバとして最初のものをを利用します。

マルウェアは、以下からランダムなニックネームを選択します。

• abbore
• ably
• abyss
• acrima
• aerodream
• afkdemon
• ainthere
• alberto
• alexia
• alexndra
• alias
• alikki
• alphaa
• alterego
• alvin
• ambra
• amed
• andjela
• andreas
• anja
• anjing
• anna
• apeq
• arntz
• arskaz
• as
• asmodizz
• asssa
• athanas
• aulis
• aus
• bar
• bast
• bedem
• beeth
• bella
• birillo
• bizio
• blackhand
• blacky
• blietta
• blondenor
• blueangel
• bluebus
• bluey
• bobi
• bopoh
• borre
• boy
• bram
• brigitta
• brio
• brrrweg
• brujah
• caprcorn
• carloto
• catgirl
• cathren
• cemanmp
• chainess
• chaingone
• chck
• chriz
• cigs
• cintat
• clarissa
• clbiz
• clex
• cobe
• cocker
• coke
• colin
• conan
• condoom
• coop
• coopers
• corvonero
• countzero
• cracker
• cread
• crnaruka
• cruizer
• cubalibre
• cure
• custodes
• dan
• dangelo
• danic
• daniela
• dario
• darker
• darknz
• davide
• daw
• demigd
• des
• devastor
• diabolik
• dimkam
• dital
• djtt
• dogzzz
• dolfi
• dolphin
• dottmorte
• dracon
• dragon
• drtte
• dumbblnd
• dusica
• ebe
• edgie
• eggist
• einaimou
• elef
• elly
• emmi
• encer
• engerim
• erixon
• eurotrash
• fairsight
• fin
• fireaway
• fjortisch
• floutti
• fluffer
• flum
• forever
• fqw
• fra
• freem
• freew
• freud
• funny
• furia
• furunkuli
• fwsmou
• gad
• gamppy
• gerhard
• ghostie
• gili
• girlie
• giugno
• gizmo
• glidaren
• gold
• gomora
• gracie
• grave
• graz
• grron
• gsund
• gufoao
• hali
• hallas
• hammer
• harri
• harry
• hayes
• hazor
• herbiez
• hlios
• hoffi
• honeii
• hongkong
• hug
• iasv
• ibanez
• ibanz
• ibar
• igi
• illusins
• imp
• inkworks
• iplord
• ivan
• ja
• jaffa
• jaimeafk
• james
• jamezdin
• janet
• janne
• jason
• javagrl
• jayc
• jazz
• jejborta
• jester
• jj
• jn
• jockey
• joe
• joelbitar
• johannes
• johndow
• johnny
• joni
• jonni
• jornx
• joshua
• jossumi
• judy
• juge
• juha
• juhas
• julze
• juutsu
• kajman
• kalca
• kamileon
• kardinal
• kasandra
• katarina
• kaviee
• kbee
• ken
• keung
• kewin
• khan
• kikeli
• kikii
• kilroi
• kiwi
• klaara
• kliimax
• klimas
• kode
• kojv
• koopal
• kralj
• krash
• krista
• kronos
• ktx
• kungen
• kuppa
• kurai
• lala
• lamour
• latina
• legend
• lenisaway
• lily
• linda
• lingyee
• linux
• lisa
• lisha
• litta
• littleboy
• liverpoo
• liyen
• liz
• liza
• lonely
• lonelygal
• lonewolf
• lopez
• lordie
• lovebyte
• lph
• luarbiasa
• lucignol
• lullaby
• lunatic
• luny
• lupo
• mac
• macesgl
• madd
• mailman
• malkav
• malr
• mamakians
• mamaw
• manarimou
• manarisou
• maradona
• marakana
• marco
• marillion
• mark
• mary
• master
• maurino
• max
• mcalcota
• melanie
• melinda
• meph
• mephisto
• mg
• mhj
• mhz
• mig
• miina
• mika
• mikav
• mike
• mikemcgii
• mikko
• mikma
• mimma
• miss
• moladmin
• monikaw
• monkeyboy
• monroe
• monstop
• mooks
• mordeshur
• mpdike
• mrbate
• mrbeauty
• mrblom
• mrbx
• mrjee
• mro
• mrtabizy
• mrx
• mrxx
• msd
• mu
• muimui
• musashi
• musc
• musce
• musicgal
• muti
• myboy
• mystr
• mythic
• mywife
• nallllle
• nanask
• natalie
• natborta
• ncubus
• neutrino
• niceguy
• nico
• niklas
• nimfa
• nino
• nurul
• obiwanbip
• ogre
• olivia
• omega
• only
• orac
• orace
• oranzzzzz
• organza
• ourlove
• outworld
• outzake
• oxygn
• paliadog
• pazarac
• permaloso
• perroz
• pessaar
• phre
• phreaky
• pihkal
• pinball
• poesje
• poison
• poofie
• popy
• powerpc
• pper
• primera
• primetime
• proxyma
• pshyche
• psioncore
• psiximou
• psixisou
• psychosis
• psyidle
• pszaah
• puppetm
• pzzzz
• quattro
• question
• ra
• ragio
• ragnetto
• raiden
• raindance
• raistln
• ranu
• raska
• raul
• raye
• reartu
• red
• reflect
• ribica
• richard
• rick
• rigo
• rikuta
• rikuxr
• rita
• rix
• rob
• roku
• ronaldo
• ronwrl
• roticanai
• rugiada
• ruthless
• saalut
• sammi
• sand
• satanins
• schzsh
• scorpin
• sealink
• sean
• secret
• serpentor
• servant
• sethi
• sexbolek
• sexyman
• sharmm
• shearer
• shekel
• shio
• shortys
• shred
• sidewalk
• sil
• siren
• skar
• skill
• skru
• sky
• skygun
• skylink
• slaktarn
• slash
• slgon
• smarties
• smck
• snake
• snike
• snoopgirl
• sodoma
• sopocani
• sorceress
• spacebbl
• spacedump
• spanker
• spermboy
• spirtouli
• srk
• stazzz
• steve
• stinga
• stj
• stjf
• studenica
• stussy
• suez
• suhoj
• sukun
• sunsola
• surfer
• sutera
• svearike
• sweetii
• sweetlady
• sweklopi
• swepilot
• switch
• syncphos
• szern
• takumura
• tallaxlc
• tampone
• tarabas
• tatano
• tato
• tennis
• tenx
• terence
• terkukur
• tero
• thefox
• thesint
• timer
• timewalk
• tmhd
• tnxfck
• to
• tomihki
• tommy
• topo
• triumph
• trustme
• tungau
• tupac
• turbozzzz
• turing
• tvrdjava
• tysn
• unicron
• uoff
• uptimer
• utopia
• vader
• vaismi
• vajje
• vanda
• varjo
• vass
• vento
• venusguy
• vertie
• viagara
• vicious
• vidxxx
• virex
• vodafone
• vone
• vrgnie
• vuubeibe
• wanderer
• warrr
• wasabboy
• weebee
• wellu
• wendy
• whiskey
• willgood
• wing
• winny
• wknight
• wlly
• wolfman
• wow
• wp
• xarasou
• xtreme
• xxx
• xzone
• yakzr
• yang
• yashy
• yasin
• yenyen
• ykbug
• yogiebear
• zai
• zfstr
• zinj
• zizu
• zvezda
• zwimou
• zwisou
• zwsiew
• zwsiewale