VBS_HOUSCORP.A

ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Temp%\{Malware File Name}.vbs

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Malware File Name} = "wscript.exe //B "%User Temp%\{Malware File Name}.vbs""

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{Malware File Name} = "wscript.exe //B "%User Temp%\{Malware File Name}.vbs""

ワームは、Windows起動時に自動実行されるよう＜User Startup＞フォルダ内に以下のファイルを作成します。

• %User Startup%\{Malware File Name}.vbs

(註：%User Startup%フォルダは、Windows 98 および ME の場合、通常、"C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup"、Windows NT の場合、"C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" および "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。)

他のシステム変更

ワームは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\{Malware File Name}

ワームは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\{Malware File Name}
{Default} = "{true/false} - {Date of Installation}"

感染活動

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {Removable Drive}:\{Malware File Name}.vbs

バックドア活動

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• Update itself
• Uninstall itself
• Download/Upload files
• List Drivers
• Perform File Management (Create, Modify, Delete)
• List Running Processes
• Shell Execution
• Sleep

ワームは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://mda.{BLOCKED}p.org:88/is-ready

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

ワームは、以下の情報を収集します。

• Drive Information
• Username
• Computer Name
• OS Information

その他

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• 自身の更新
• 自身のアンインストール
• ファイルのダウンロード／アップロード
• ドライバの列挙
• ファイル管理の実行（作成、改変、削除）
• 実行中プロセスの列挙
• シェルの実行
• スリープ

ワームが収集する情報は以下のとおりです。

• ドライブ情報
• ユーザ名
• コンピュータ名
• オペレーティングシステム（OS）の情報

ワームは、すべてのリムーバブルドライブのルートに存在するすべてのファイルとフォルダを非表示にします。ワームは、非表示の各ファイル／フォルダに対し、このファイル／フォルダ名を利用したショートカットファイル（拡張子LNK）を作成します。

そして、LNKファイルが実行されると、ワームは、リムーバブルドライブ内で「VBS_HOUSCORP.A」の作成されたコピーを実行します。

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。