Worm.JS.JASCREX.A

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、ダウンロードしたファイルを実行します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、以下のプロセスを追加します。

• cmd/T: /U /Q /C cd /D {Drive Letter}: && dir /b/s/x *.mpp *.vsdx *.odt *.ods *.odp *.odm *.odc *.odb *.wps *.xlk *.ppt *.pst *.dwg *.dxf *.dxg *.wpd *.doc *.xls *.pdf *.rtf *.txt *.pub >> %TEMP%\tifony.txt
• cmd/T: /U /Q /C copy /Y "{Malware File Directory}\{Malware File Name}" "{Name of the file it will replace}.jse" && del /Q/F "{Name of the file it will replace}"
• wscript /B /E:JScript "%User Temp%\{Random Numbers}.sep"
• cscript /B /E:JScript "%User Temp%\{Random Numbers}.sep"
• rundll32 "{Random Numbers}.com" InitLibrary

ワームは、以下の偽エラーメッセージを表示します。

ダウンロード活動

ワームは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• https://{BLOCKED}.{BLOCKED}.72.155/1/1.php

ワームは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\{Random Numbers}.red
• %User Temp%\{Random Numbers}.sep
• %User Temp%\{Random Numbers}.com

ワームは、ダウンロードしたファイルを実行します。

情報漏えい

ワームは、以下の情報を収集します。

• User Domain
• Computer Name
• User Name

その他

ワームは、以下を実行します。

• If it fails to download a file from its C&C Server, it locates for files with the following extensions in shared and removable drives, deletes the file and replaces the deleted file with a copy of itself:
  • .mpp
  • .vsdx
  • .odt
  • .ods
  • .odp
  • .odm
  • .odc
  • .odb
  • .wps
  • .xlk
  • .ppt
  • .pst
  • .dwg
  • .dxf
  • .dxg
  • .wpd
  • .doc
  • .xls
  • .pdf
  • .rtf
  • .txt
  • .pub

ただし、情報公開日現在、このWebサイトにはアクセスできません。