Worm.VBS.ARROBON.A

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、以下のファイルを作成します。

• {Removable Drive}\click para ver tus archivos (no borrar).lnk

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Startup%\system.vbe

(註：%User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows 2003(32-bit)、XP、2000(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8、 8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。)

ワームは、以下のプロセスを追加します。

• explorer.exe /e, {Removable Drive Letter}\f{Random Characters}
• %User Startup%\system.vbe restart

(註：%User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows 2003(32-bit)、XP、2000(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8、 8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。)

他のシステム変更

ワームは、以下のフォルダを削除します。

• Deletes all folders in the removable drive aside from the created folder of the malware

感染活動

ワームは、すべてのリムーバブルドライブ内に以下のフォルダを作成します。

• {Rermovable Drive Letter}\f{Random Characters}
• {Rermovable Drive Letter}\f{Random Characters}\temp

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {Removable Drive}\f{Random characters}\temp\system.vbe

ダウンロード活動

ワームは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• https://{BLOCKED}71

情報漏えい

ワームは、以下の情報を収集します。

• Disk Drive information and Logical Drive Volumes present in the system

その他

ワームは、以下を実行します。

• Accepts the following arguments:
  • format {Malware Filename}.vbs {Argument 1} {Argument 2}
  • No argument → will execute the following:
  • chrome.exe -url https://{BLOCKED}71 --headless --remote-debugging-port=9222 --user-data-dir="%User Temp%\session" --disable-web-security --reduce-security-for-testing --allow-running-insecure-content
  • {Argument 1}
  • click → Will execute "explorer.exe /e, {Argument 2}" then drops a copy to %User Startup%\system.vbe
  • restart → Will proceed to the propagation routine
  • {Argument 2} → {Removable Drive}\f{Random Characters}
• Will not drop a copy of itself in the removable drives given by the following conditions:
  • Presence of click para ver tus archivos (no borrar).lnk in the removable drive
  • If the used space in the removable drive is greater than the Free Space
• Move and Copies all files and folder found in the removable drive to the following folders:
  • {Removable Drive}\f{random characters}