UMBALD

「UMBALD」は、ワークおよびバックドアのファミリであり、リムーバブルディスクを介して拡散することができます。ワークは、自身の更新やアンインストール、ファイルのアップロードやダウンロード、実行やプラグインのインストールおよびアンインストールといった不正リモートユーザからさなざまなコマンドを実行します。

「UMBALD」はの亜種のほとんどは、正規のファイル名を利用してWindowsのディレクトリに自身のコピーを作成します。

ワームは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

インストール

ワームは、以下のファイルを作成し実行します。

• %User Profile%\Templates\THEMECPL.exe
• {malware path}\Plugins\@
• {drive letter}:\autorun.inf

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Windows%\svchost.exe
• %Windows%\winsvchost.exe
• %Application Data%\sparmotz.exe
• %User Temp%\sppnp.exe
• {drive letter}:\starter.exe

(註：%Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

他のシステム変更

ワームは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
bw8legs

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
umbra

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
rJm3lrm1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
lPugXG43

ワームは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
bw8legs
UID = "{random}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
umbra
UID = "{random}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
rJm3lrm1
UID = "{random}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
lPugXG43
UID = "{random}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Socks Virtual Host = ""%Windows%\svchost.exe""

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Windows Updater = "%Windows%\winsvchost.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Pdf Updater = ""%Windows%\winsvchost.exe""

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
otstuksrs = "%Application Data%\sparmotz.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Microsoft® Windows® Operating System = "%User Profile%\THEMECPL.exe"

バックドア活動

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• Uninstall Itself
• Update Itself
• Download and Execute Files
• Upload Files
• Install Plugin
• Uninstall Plugin

その他

ワームは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}x.net/panel/panel/bot.php
• http://{BLOCKED}dlol.com/panel/panel/bot.php
• http://{BLOCKED}kosika.com/panel/panel/bot.php
• http://www.{BLOCKED}davies.net/files/working/100/Panel/bot.php
• http://{BLOCKED}king.cc/umbra/Panel/bot.php
• http://{BLOCKED}.{BLOCKED}.238.53/1/Panel2/Panel/bot.php

ワームが実行する不正リモートユーザからのコマンドは以下のとおりです。

• 自身のアンインストール
• 自身の更新
• ファイルのダウンロードおよび実行
• ファイルのアップロード
• プラグインのインストール

ワームは以下のいずれかのフォルダを作成します。

• %Windows%\Plugins
• {malware path}\Plugins