VBS_DUNIHI.PLAS

ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\aiasfacoiaksf.vbs

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

ワームは、以下のファイルを作成します。

• {Drive}:\{folder / file name}.lnk

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
asodakaossd = "%System%\cmd.exe" /c start "%Application Data%\aiasfacoiaksf.vbs" exit"

ワームは、Windows起動時に自動実行されるよう＜User Startup＞フォルダ内に以下のファイルを作成します。

• %User Startup%\asodakaossd.lnk - points to %Application Data%\aiasfacoiaksf.vbs

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

他のシステム変更

ワームは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\aiasfacoiaksf

ワームは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\aiasfacoiaksf
(Default) = "{true or false} - {date of first execution}"

感染活動

ワームは、すべてのリムーバブルドライブ内に以下のフォルダを作成します。

• {Drive}:\ cfsdaacdfawd

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {Drive}:\ cfsdaacdfawd\aiasfacoiaksf.vbss

バックドア活動

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• Execute file
• Update itself
• Uninstall itself
• Download file
• Upload file
• Enumerate drives
• Enumerate folders and files
• Enumerate processes
• Perform remote shell
• Delete folders and files
• Terminate itself
• Sleep

ワームは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}m.no-ip.biz:81

ダウンロード活動

ワームは、以下のWebサイトにアクセスして自身の環境設定ファイルをダウンロードします。

• http://{BLOCKED}ebin.com/raw.php?i=C27VjQAe (for x86 environment)
• http://{BLOCKED}ebin.com/raw.php?i=hffzGc2s (for x64 environment)

ワームは、以下のファイル名でダウンロードしたファイルを保存します。

• %Application Data%\{file name based on config file} - download routine based on configuration file

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

情報漏えい

環境設定ファイルは、以下の情報を含んでいます。

• Download link
• Downloaded file name

ワームは、以下の情報を収集します。

• OS version
• Computer name
• User name
• AV software installed
• Volume information