Worm.JS.BONDAT.DNN

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、以下のファイルを作成します。

• %User Temp%\{malware filename}.js
• %AppDataLocal%\{randomly generated chars}
• %AppDataLocal%\{randomly generated chars}\{random chars}
• %AppDataLocal%\{randomly generated chars}\{random chars}.js
• %AppDataLocal%\{randomly generated chars}\{random chars}.exe
• {Removable}:\Files\{num}\{malware copy}.js
• {Removable}:\Files.bat
• {Removable}:\System Volume Information\{random}\{random}

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

ワームは、以下のプロセスを追加します。

• "%System%\wscript.exe" "%User Temp%\{malware filename}.js" {randomly generated parameter}
• "%System%\cmd.exe" /c del /F /S /Q "%AppDataLocal%\{randomly generated chars}\*.exe"
• "%AppDataLocal%\{randomly generated chars}\{random chars}.exe" "%User Temp%\{malware filename}.js" {randomly generated parameter}
• %System%\cmd.exe /c shutdown /p /f

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random} = %AppData%\{random}\{random}.exe "%AppData%\{random}\{random}.js"

ワームは、＜User Startup＞フォルダ内に、自身のコピーに誘導する以下のショートカットを作成します。これにより、Windows起動時に自身のコピーが自動実行されます。

• %All Users Profile%\Microsoft\Windows\Start Menu\Programs\Startup\Start.lnk
• %User Startup%\Start.lnk

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8の場合、通常 "C:\ProgramData” です。. %User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows XPの場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。)

感染活動

マルウェアは、感染コンピュータ上にフォルダやファイルに偽装したショートカットファイル（拡張子「LNK」）を作成して自身のコピーへ誘導します。

プロセスの終了

ワームは、感染コンピュータ上でプロセスが常駐されていることを確認した場合、以下のいずれかの文字列を含むプロセスまたはサービスを終了します。

• "autoruns"
• "avast"
• "avenger"
• "avg"
• "ccsetup"
• "cleaner"
• "combofix"
• "dds"
• "emergencykit"
• "fiddler"
• "filemon"
• "frst"
• "fs20"
• "fss"
• "gmer"
• "hijackthis"
• "hotfix"
• "housecall"
• "issetup"
• "klwk"
• "mbam"
• "mbsa"
• "mcshield"
• "mrt"
• "msconfig"
• "msss"
• "otl"
• "perfmon"
• "procexp"
• "procmon"
• "ptinstall"
• "regedit"
• "regmon"
• "resmon"
• "roguekiller"
• "rstrui"
• "rubotted"
• "sdasetup"
• "sysclean"
• "tcpview"
• "unlocker"
• "vbsvbe"
• "windows-kb"
• "wireshark"
• "zoek"
• "zphdiag"

その他

ワームは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• http://www.microsoft.com/
• http://www.google.com/
• http://www.bing.com/

ワームは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}it.com/0.html
• http://{BLOCKED}ille.com/0.html
• http://{BLOCKED}ille.com/2.html